使用cookies API获取sessionId而不访问session

Question

我需要在不点击会话的情况下获取当前会话 ID（给它一个过期的机会）。

我使用了 Servlet 代码中的 Cookie，以保持会话不受影响，然后使会话在超时时间后过期。

我正在使用以下代码：

public static String getSessionId(HttpServletRequest request)
{
    String sessionId = "";
    String logMsg = "";
    if (request != null)
    {
        String sessionTimeout = PropertiesReader.SESSION_TIMEOUT_SCHEMA;
        if (sessionTimeout != null && SessionHelper.SESSION_TIMEOUT_FIXED.equalsIgnoreCase(sessionTimeout))
        {
            logMsg = "FIXED: Getting SessionId from Cookies with activating the session";
            Cookie[] cookies = request.getCookies();
            if (cookies != null)
            {
                for (Cookie cook : cookies)
                {
                    if ("JSESSIONID".equalsIgnoreCase(cook.getName()))
                    {
                        sessionId = cook.getValue();
                        break;
                    }
                }
            }
        } else
        {
            logMsg = "PER_USAGE: Getting SessionId from Session";
            sessionId = request.getSession(false) != null ? request.getSession(false).getId() : "";
        }
    }else
    {
        logMsg = "Request object is null";
    }

    logger.info(logMsg + ", sessionId=" + sessionId);

    return sessionId;
}

一一OC4J应用程序服务器，它工作正常。尽管在另一台oc4j服务器上，访问cookie的代码使会话保持活动状态并且不会超时！

编辑：

我真的卡住了！，我试图放置一个过滤器来删除 JSESSIONID cookie 并删除 HttpServletRequest 中的所有 cookie，但是当我对传递给 servlet 的请求调用 getSession(false) 时，我得到了一个有效的会话！

class CookieRemovalHttpServletRequestWrapper extends HttpServletRequestWrapper
    {
        public static final String COOKIE_HEADER = "cookie";
        public static final String JSESSIONID = "JSESSIONID";

        public CookieRemovalHttpServletRequestWrapper(HttpServletRequest request)
        {
            super(request);
        }

        @Override
        public String getHeader(String name)
        {
            if (COOKIE_HEADER.equalsIgnoreCase(name))
            {
                return "";
            }
            return super.getHeader(name);
        }

        @Override
        public Enumeration getHeaderNames()
        {
            Enumeration e = super.getHeaderNames();
            List l = new ArrayList();
            while (e.hasMoreElements())
            {
                String headerName = (String) e.nextElement();
                if (!COOKIE_HEADER.equalsIgnoreCase(headerName))
                {
                    l.add(headerName);
                }
            }

            return Collections.enumeration(l);
        }

        @Override
        public Enumeration getHeaders(String name)
        {
            if (COOKIE_HEADER.equalsIgnoreCase(name))
            {
                return new Enumeration()
                {
                    public boolean hasMoreElements()
                    {
                        return false;
                    }

                    public Object nextElement()
                    {
                        return null;
                    }
                };
            }
            return super.getHeaders(name);
        }

        @Override
        public Cookie[] getCookies()
        {
            Cookie[] cs = super.getCookies();
            List<Cookie> cokRet = new ArrayList<Cookie>(cs.length);
            for (Cookie c : cs)
            {
                if (c.getName().equalsIgnoreCase(JSESSIONID)) continue;
                cokRet.add(c);
            }

            return cokRet.toArray(new Cookie[] {});
        }

    }

真的想忘记所有关于会话的事情，只使用会话 ID 作为用户的唯一标识符，并以困难的方式自己完成。

Answer 1

至于您的代码，不要采用困难的方式，请使用 HttpServletRequest#getRequestedSessionId() 和 HttpServletRequest#isRequestedSessionIdValid() 而是检查请求的会话 ID 及其是否有效。

if (request.getRequestedSessionId() != null && !request.isRequestedSessionIdValid()) {
    // The session has been expired (or a hacker supplied a fake cookie).
}

至于你的具体问题：

访问cookie的代码使会话保持活动状态并且不会超时！

不，代码不会这样做。这是 HTTP 请求本身完成的。每当您不调用 getSession() 或其他方法时，会话超时都不会被推迟，这是不正确的。无论您在代码中是否需要会话，它都会在客户端触发的每个 HTTP 请求上推迟。

要了解会话的工作原理，您可能会发现此答案很有帮助：servlet 是如何工作的？实例化、会话、共享变量和多线程

Answer 2

会话过期并不取决于您的代码是否访问会话，而是取决于用户通过该会话发出请求。每次用户发出请求时，会话的超时时间都会自行重置。

如果您不想让用户的请求重新设置超时（即具有固定长度的会话），那么您将需要执行其他操作来配置会话，包括可能使用不同的会话过滤器来处理会话。

Answer 3

会话没有超时，这是正确的行为，因为请求已被接受并且会话过期在任何情况下都会更新。