JSP - 无法维护 http 页面和 https 页面之间的会话

Question

我似乎无法找到解决我的问题的唯一正确答案。我对在互联网上找到的信息不知所措，我不知道我应该做什么。

我的设置如下： Apache服务器（前端），Tomcat 6.0（后端），RapidSSL证书位于Apache服务器上，我的网站由Java服务器组成页数。

问题：
我有几个页面位于 https 下，而其余网站页面位于 http 下。 我的登录页面位于 https 下，我注意到当我登录并重定向到 http 页面时，会话没有得到维护。它创建一个新页面，这会导致用户被发送到我的“会话过期”页面，而实际上，在成功登录后，他们将被重定向到另一个页面。

问题：
为什么从 https 切换到 http 时会话不保持？

我该如何解决这个问题？ 我需要在 http 页面上创建的会话属性出现在 https 页面上，因此当用户再次定向到 http 页面时，会话尚未重新创建，属性也会丢失。

请向我提出您认为有必要的任何问题，以帮助我解决这个问题。我非常感谢我收到的任何帮助。这个问题已经成为我的绊脚石，特别是因为我显然缺乏自己解决这个问题的“专业知识”。

Answer 1

允许用户登录后使用相同的会话是一个安全漏洞。默认情况下，Tomcat 不允许会话从 SSL 迁移到非 SSL 页面。

您应该更改您的逻辑，以便如果用户正在登录，会话会以静默方式更新并登录，而不是转到会话过期页面。

Answer 2

您可能正在使用“安全 cookie”来维护会话：这些 cookie 不会从 HTTPS 传播到 HTTP。这通常是一件好事。

您可以选择不这样做，但是当您将会话从 HTTPS 传输到 HTTP 时，您必须格外小心，不允许稍后通过 HTTPS 重用它，因为它可能已被泄露。

Answer 3

您是否使用简单的反向代理连接到 Tomcat？如果您的情况如此，请使用 mod_proxy_ajp 来使用 AJP 将 Apache HTTP Server 连接到 Tomcat 应用程序服务器。

Answer 4

我也有同样的问题，网站的某些部分是https，有些部分是http。我发现使用 Tomcat，通过 http 创建的会话 cookie 转移到 https 没有问题，但是在转移到 http 时，通过 https 创建的会话 cookie 会丢失。

我发现在用户访问网站时维持会话的一个解决方案是在用户第一次到达时让他们跳来跳去。我使用以下代码创建了一个 RequestFilter：

if (request.isSecure() && session.isNew()) { // session cookie created over ssl
    try { session.invalidate(); }
    catch (Exception e) { /* handle error */ }
    String url = request.getRequestURI().replaceFirst("https", "http");
    response.sendRedirect(url);
}
else if (!request.isSecure()) {
    String url = request.getRequestURI().replaceFirst("http", "https");
    response.sendRedirect(url);
}

这会强制新会话使用非 SSL 创建持久会话 cookie，然后一旦会话存在，用户就会转发回安全请求。这会导致会话保持活动状态。

或者，这里有一个涉及较少跳动的选项，只需用不安全的 cookie 覆盖会话 cookie：

if (request.isSecure() && session.isNew()) {
    Cookie c = new Cookie("JSESSIONID", request.getSession().getId());
    c.setSecure(false);
    response.addCookie(c);
}