問題タブ [jsessionid]

私は現在、ウェブサイトの国際化を行っており、jsessionIDs の周りでいくつかの問題に遭遇しました。mod_jk を介して複数の JBoss アプリ サーバー間で負荷を分散する Apache Web サーバーを使用しています。

デフォルトの GB URL でサイトにアクセスすると、専用の jboss アプリ サーバーで jsessionID が正しく作成されます。たとえばwww.mysite.com、 でセッションを作成しGB_Jbossます。

URL を に更新するとwww.mysite.com/fr、新しい jsessionID が に作成されFR_JBossます。

URL を に更新するとwww.mysite.com/us、新しい jsessionID が に作成されUS_JBossます。

ただし、URL を更新するたびに、常に元の jsessionID が表示されます。

これが理にかなっていると思いますか？これをApache経由で機能させる方法はありますか? それとも、これはロード バランサーでの負荷分散の問題ですか?

他のブラウザまたは同じブラウザの新しいタブで jsessionid の例 www.example.com/user/feedback;jsessionid=sdfererefjjefeife33f:1 を追加する URL をボディがコピーした場合、jsessionid の再利用を防ぐ方法。

アプリケーションは、websphere 6.1 で実行される Struts 1.1 で構築されています

助けてください

私はSAPプロジェクトに取り組んでおり、URLのバインドにjsessionidを使用して非SAPサービスを呼び出す必要があります。すでにwsdlからプロキシクラスを生成し、URLを使用して論理ポートを定義しました。私の場合、{host} / service / foo / binding; jsessionid = {xxx}のように動的である必要がありますが、{host} / service / foo/bindingのように静的である必要があります。

どうすればそのセッション処理を実現できますか？

編集：ここでの問題は、認証だけでなく、負荷分散にも問題があります。jsessionidは、URL書き換えを介して送信する必要があります。何か案は？

URL自体の一部ではなく、URLのクエリ文字列のパラメータとしてJSESSIONIDを指定することにより、セッションを維持できるようにする必要があります。

言い換えれば、私はこのようなセッションを維持する必要があります

http://myserver.com?jsessionid=A463B23BC4F2342FA

それよりも

http://myserver.com; jsessionid = A463B23BC4F2342FA

サーブレットコンテナの場合、tomcat6.0とweblogic10.3の両方を使用しています。

理由：

クライアントからのリクエストに対してセッションを維持する必要があるGoogleEarthネットワークリンクを作成しています。Google EarthはCookieをサポートしておらず、リクエストに使用するURLを変更する方法がないようです。サーバーの応答でkmlに以下を追加することで、後続のリクエストにクエリ文字列パラメーターを追加するように指示することしかできません。

SSH トンネルを介して内部サーバーと通信するインターネット上で利用可能なアプレットがあります。正しい SSH クレデンシャルがアプレットで利用できる必要があります。それらをアプレットにコンパイルするのはあまり便利ではありません。それらを HTML のアプレット パラメータとして提供すると、それらがインターネットに漏洩します。アプレットにアプレットホストサーバーからそれらをダウンロードさせることも同様ですが、それほど明白ではありません。私の質問は、アプレットだけが SSH 資格情報を取得できる、私が考えていなかった別の方法はありますか? おそらく、アプレットにブラウザと同じセッション ID を使用させることができます。その場合、少なくとも認証されたユーザーに制限することができます...しかし、リークのない、より安全なソリューションが本当に欲しいです。

サーバー スタックには、Tomcat、JSF、および Facelets があります。Apache サーバーと FTP も利用できます。

編集:私がトンネリングしている内部サービス自体は、DoS を除けばかなり安全であることを明確にする必要があります。それは、私が懸念している内部ホストのセキュリティであり、どこへのパブリック トンネルにもならないことです。そこでは、SSH PermitOpen 構成要素が大いに役立ちます。

jsessionidを含むURLを使用しています。

http：// localhost：8080 / myservlet; jsessionid = 123

しかし、HttpServletRequestでセッションIDを読み取ると、値が123になることはなく、代わりに生成されたセッションIDになります。B663A96D3FBC84B4A427C0810EAB9073。

jsessionidが無視されるのはなぜですか？

同じドメイン内の 2 つの異なる URL で同じ jsessionid を保持することは可能ですか?

例 ：

私は自分のサイト (http://MyProject.com) のホームページにいます。ボタンをクリックすると、「http://param.MyProject.com」にリダイレクトされます。現時点では、ブラウザは現在の jsessionid を送信せず、サーバーは新しいものを作成しますが、同じままにしたいと思います。その結果、URL が MyProject.com から param.MyProject.com に変わると、HttpSession が失われ、ログアウトされます。

Tomcat 7 と Chrome または Firefox を使用しています。

回答ありがとうございます。

アプリケーションは WebLogic で実行されています。

ある時点で、WebLogic は Apache にリダイレクトして、ユーザーが PDF ファイルにアクセスできるようにします。

これは次の方法で行われます。

問題は、WebLogic が JSESSIONID を URL に追加し、Apache が PDF ドキュメントの提供に失敗することです。

WebLogic が JSESSIONID を URL に追加しないようにするにはどうすればよいですか?

「セキュア」フラグを JSESSIONID cookie に設定したい。このためのTomcat 6の構成はありますか?

server.xml の 'Connector' (8080) 要素に 'secure="true"' を設定してみましたが、問題が発生します ....接続がリセットされています。

私のアプリケーションでは、JSESSIONID が「http」モード (インデックス ページ) で作成されていることに注意してください。ユーザーがログインすると、「https」モードに切り替わります。

httpsヘッダーでjsessionidが使用されないようにしたいと考えています。これをオフにするか、Tomcat 7でCookieとして設定されていることを無効にする方法はありますか？

jsessionidをGETメソッドのURL名と値のペアに埋め込んで到着させるか、POSTリクエストの名前と値のペアの一部にします。

CookieベースのセッションとURL書き換えを使用することの長所と短所はすべて知っていますが、RESTfulWebサービスの特定の実装に対する特定のニーズがあります。

httpヘッダーjsessionidを使用せずにjsessionidを受け入れるには、Tomcat7が必要です。

ありがとう。

アップデート：

そこで、もう少し調べてみると、web.xmlconfを使用して実装されていることがわかりました。
ただし、以下はTomcat7では機能しないようです。

TC7がサーブレット3.0仕様を完全に実装していない場合ですか？