httpservletrequest - 創建新會話/更改會話Id

Question

我正在維護一個Java Web應用程序。

查看登錄代碼，它通過HttpServletRequest的getSession（）方法從HttpServletRequest中獲取HttpSession。 （它使用會話中的一些值進行身份驗證）

但是我擔心會話修復攻擊，所以在使用初始會話之後，我想要啓動新會話或更改會話ID。這可能嗎？

Answer 1

Servlet 3.0 API不允許您更改現有會話上的會話ID。通常情況下，爲了防止會話固定，您只需要創建一個新會話並使舊會話無效。

您可以作廢這樣

request.getSession(false).invalidate(); 

一個會話，然後用

getSession(true)（getSession()應該也可以工作）創建一個新的會話

顯然，如果你在會話中有一個數據你想堅持下去，你需要將它從第一次會議複製到第二次會議。

請注意，對於會話固定保護，通常認爲只需在身份驗證請求上執行此操作即可。但更高級別的安全性涉及拋棄舊會話並針對每個請求進行新會話。

Answer 2

由於Java EE 7和Servlet API 3.1（Tomcat 8）可以使用HttpServletRequest.changeSessionId()來實現此類行爲。還有一個聽衆HttpSessionIdListener將在每次更改後調用。