Spring安全，JSESSIONID複製問題

Question

我使用spring security（Forms身份驗證）來驗證傳入用戶。我們使用真正的用戶名和密碼登錄。現在我只是從瀏覽器中複製JSESSIONID，並從android創建新的Http請求，並將相同的JSESSIONID傳遞給spring服務。請求也得到了android的授權。

這意味着任何人只要得到正確的JSESSIONID就可以破壞安全。

我們如何在春季安全中避免這種情況？

Answer 1

這不是真正的威脅。

您的威脅模型是：用戶可以驗證身份並將自己的會話ID複製到他們控制的另一臺計算機。

黑客無法竊取別人的會話ID。這是重要的一部分。