鍍金池/ 問答/Java  C  Linux/ tomcat7 servlet代碼中無法修改JSESSIONID在cookie的

tomcat7 servlet代碼中無法修改JSESSIONID在cookie的值嗎

Cookie cookie = new Cookie("ACKEY", "123456");
cookie.setMaxAge(3600);
cookie.setPath("/api");
response.addCookie(cookie);

ACKEY 是存放sessionId的鍵，我這么修改完全不起作用。是tomcat容器不讓修改嗎？
登錄成功后改變sessionId是為了防止會話劫持或者固定會話攻擊。

回答
編輯回答
落殤

在tomcat配置文件中加入如下配置：

<Context path="" docBase="" reloadable="false" sessionCookieName=“xxxxxxxxx” />

這樣能改掉sessionid的key,能在會話劫持的情況下一定程度上起到混淆的作用。

clipboard.png

2017年4月23日 09:53
編輯回答
乖乖噠

感謝還有人回答。 是因為之前沒有生成session，所以addCookie不起作用。得先getSession()

2017年12月21日 12:39