防止重复使用 jsessionid
如果某些主体复制附加 jsessionid 示例 www.example.com/user/feedback;jsessionid=sdfererefjjefeife33f:1 在其他浏览器上或同一浏览器中的新选项卡的 url，我如何防止重复使用 jsessionid。
应用程序基于 struts 1.1 构建，在 websphere 6.1 上运行
请帮助
How I can prevent reuse of jsessionid, if some body copies url that appends jsessionid example www.example.com/user/feedback;jsessionid=sdfererefjjefeife33f:1 on other browser or a new tab in same browser.
Application is build on struts 1.1 running over websphere 6.1
Please Help
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
您可以在 Websphere Application 6.1 中禁用 URL 重写（参见）。 http://publib.boulder.ibm.com/infocenter/wasinfo/v6r1/index.jsp?topic=/com.ibm.websphere.base.doc/info/aes/ae/uprs_rsession_manager.html 。
You can disable URL rewriting in Websphere Application 6.1 cf. http://publib.boulder.ibm.com/infocenter/wasinfo/v6r1/index.jsp?topic=/com.ibm.websphere.base.doc/info/aes/ae/uprs_rsession_manager.html .
WebSphere Application Server 通常不会强制执行任何 HTTP 会话访问授权。具有有效会话标识符的任何一方都可以访问任何会话。虽然会话标识符不太可能被猜测，但可以通过其他方式获取会话标识符。为了降低这种形式的攻击的风险，您应该考虑启用会话安全性。此设置配置于
选中标记为安全集成的框。完成此操作后，WebSphere Application Server 将跟踪哪个用户（由他们提供的 LTPA 凭证确定）拥有哪个会话，并确保只有该用户可以访问该会话。
您必须使用 WebSphere Application Server 提供的身份验证和授权机制才能完成这项工作。换句话说，您必须启用应用程序安全性并使用 JavaEE 安全角色。
WebSphere Application Server does not normally enforce any authorization of HTTP Session access. Any party with a valid session identifier can access any session. While session identifiers aren't likely to be guessable, it may be possible to obtain session identifiers through other means. To reduce the risk of this form of attack, you should consider enabling session security. This setting is configured at
Check the box labeled security integration. Once this is done, WebSphere Application Server will track what user (as determined by the LTPA credential that they present) owns what session, and will ensure that only that user can access that session.
You have to use the authentication and authorization mechanisms provided by WebSphere Application Server in order to make this work. In other words you will have to enable application security and make use of JavaEE security roles.