Servlet會話 - 從URL重寫切換到Cookie

Question

情況：我有一個「啞」Javascript前端，可以聯繫某種SSO中間件（MW）。 MW可以通過發出包含認證憑證（用戶名，密碼）的請求來獲得會話。即該會話將爲某個用戶創建。

我的前端需要「重啓」會話以獲得用戶對目標系統的權限。爲此，我需要一個有效的會話cookie。

目標系統不在我的控制之下（可能是一個或多或少的公共WFS，WMS等），所以我不能添加任何SSO機制。

問題：是否有可能「竊取」會話僞造一個請求，該請求中的哪個URL包含jsessionid參數中的有效會話ID？

目標：向Servlet發出這樣的請求，並使用包含相同ID的Set-Cookie頭進行響應。通過這種方式，前端加入了會話，並且可以執行用於創建會話的用戶所能做的任何事情。

Answer 1

你最好的賭注是共享數據源其中共享的信息存儲與一些長期，自動生成的，唯一標識符密鑰（java.util.UUID也許？），然後通過周圍此鍵（RDBMS？）。