DWR Cookie（DWRSESSIONID）及其用法

Question

想知道DWR生成併發送給瀏覽器的DWRSESSIONID的用法是什麼？它與HTTPSession相關嗎？當使用JSESSIONID來維護狀態時，沒有看到任何實際的原因來創建此cookie。

Answer 1

在DWR 3.0中添加了DWRSESSIONID cookie以防範CSRF attacks。當服務器端DWR類Batch.java第一次進行呼叫時它會被設置。在後續調用中，BaseDwrpHandler.java使用它來檢查CSRF攻擊。即使沒有HttpSession，它也是可用的，因此沒有JSESSIONID。通過Mike Wilson on the DWR-Users mailing list解釋：

在我們創造我們自己的會話cookie（「DWRSESSIONID」）的DWR 3.0模型 所以總是會有一個會話cookie來立足CSRF覈對， 即使應用程序不使用HttpSession。