古いJSESSIONIDを使用してHttpSessionを作成するにはどうすればよいですか？

Question

リクエストで渡された、まだアクティブなセッションからJSESSIONIDを使用してHttpSession（サーブレットフィルタでCookie付き）を再作成するにはどうすればよいですか？

ありがとうございました。

Answer 1

あなたがしようとしているのは、セッションをハイジャックすることです。名前の通り、悪意のあるユーザーが同じメカニズムを使用して優れたユーザーを偽装する可能性があるため、これはアプリケーションのセキュリティホールです。

2番目のクライアント（あなたの場合はモバイルブラウザ）はセッションIDを知る必要があるため、ログインを避けるだけでは何も得られません。セッションIDを入力します。

Answer 2

これは理論上、ひどく間違いやすいソリューションです。本当の解決策はどこかにある。関心のあるデータを、ログインしているユーザに関連付けられているいくつかのデータストア（SQLデータベース？）に格納します。こうすることで、使用するクライアントアプリケーションやマシンに関係なく、ログインごとに同じデータにアクセスできます。