启用 cookie 后，为什么 jsessionid 出现在 Wicket URL 中？

Question

我注意到，当用户第一次访问我的网站时，Wicket 生成的 URL 包含 jsessionid，而不是依赖 cookie 来获取会话信息。

cookie 确实已成功设置，并且如果用户只是重新加载页面，则 jsessionid 不再附加到 URL。您可以在这里测试一下：pixlshare.com。将鼠标悬停在任何图像链接上都会显示带有 jsessionid 的 URL；重新加载页面，jsessionids 将被删除。

根据之前使用 Wicket SEO 页面 的经验，我知道如何删除jsessionid 来对机器人隐藏它，但对普通用户使用这种技术似乎是一种黑客行为。对于那些偏执到禁用 cookie 的人来说，它也会破坏网站。

这是最近从 Glassfish 迁移到 Tomcat 后发生的，尽管我不能肯定地说这就是原因。另外，我在 Tomcat 前面使用 Apache 的 mod_proxy。

Answer 1

发生的情况是这样的：客户端第一次请求页面，根本不发送 cookie：

$ curl -v http://pixlshare.com/upload

服务器不知道基于此请求的客户端功能的任何信息，特别是它是否支持 cookie。因此，为了更加安全，它发送 两者 cookie 和在 URL 中编码的 JSESSIONID：

< Set-Cookie: JSESSIONID=25E7A6C27095CA1F560BCB2983BED17C; Path=/; HttpOnly
...
<a wicket:id="image1Link" href="gallery/OKfzVk;jsessionid=25E7A6C27095CA1F560BCB2983BED17C">

换句话说，servlet 容器防御性地将 JSESSIONID 附加到每个URL，以防客户端不支持 cookie。

那么为什么 JSESSIONID 在第二次请求时消失了？因为现在客户端在 HTTP 请求中发送 cookie，并且服务器知道客户端会处理它们。也就是说，不再需要 JSESSIONID 了。

$ curl -v -b JSESSIONID=25E7A6C27095CA1F560BCB2983BED17C http://pixlshare.com/upload
> Cookie: JSESSIONID=25E7A6C27095CA1F560BCB2983BED17C
...
<a wicket:id="image1Link" href="gallery/OKfzVk">

另一方面，如果客户端不支持cookie，服务器将继续重写URL。

这不是 Wicket 问题，而是 Tomcat 功能。

---

顺便说一句（来自您网站的 JavaScript）：

path = path.replace(/^C:\\fakepath\\/i, '');

什么是假的？