在复制JSESSIONID cookie时防止复制会话

Question

背景：我在tomcat上部署了一个javaee webapp，它使用基于表单的身份验证。当web服务器接收到登录请求时，它将该请求发送到一个专用的身份验证服务，该服务验证用户登录（用户id和密码）。验证成功后，用户的会话将在web服务器中维护。

问题：我在这里编写了一个简单的webpp源代码，以模拟该场景。成功登录后，当前HttpSession实例无效，并创建新实例。对于post登录页面的每个请求，都会验证会话。设置一个新的JSessionIDcookie，用于在会话期间标识用户，直到会话过期或用户注销。这个cookie可以很容易地在浏览器的开发工具中查看。如果我复制cookie并通过JavaScript在不同的浏览器中设置它(document.cookie=“jsessionid=xyzz”)，然后尝试访问post login页面，服务器将其标识为有效请求，并成功验证会话。post login页面不会向用户询问用户Id和密码。

POC:用户打开chrome并输入URLhttp://localhost:8080/mywebapp/，然后使用admin和pass1234登录。成功登录主页时，将显示http://localhost:8080/mywebapp/home。现在JSessionIDcookie被复制并在Firefox中设置。用户在Firefox中输入http://localhost:8080/mywebapp/home，将显示主页，而无需询问用户ID和密码。

问题：当同一个会话在多个浏览器上复制时，如何防止这种情况？

Answer 1

您无法阻止这种简单地从自己的浏览器中复制cookie的特定情况（或者从Internet上某个无知的人发布的HTTP有效负载copypaste/screenshot中复制cookie值）。您最多可以防止cookie被XSS或中间人攻击所劫持。

所有这些都在维基百科页面中关于主题会话劫持的部分进行了详细阐述，我剪掉了与会话劫持无关的部分（要么已经由Servlet API强制执行，要么在这里根本不适用）。

防止会话劫持的方法包括：

null

null

<session-config>
    <tracking-mode>COOKIE</tracking-mode>
</session-config>

• servlet是如何工作的？实例化、会话、共享变量和多线程
• 如何防止在重定向的URL末尾添加jsessionid
• 在spring MVC中删除url重写中的jsessionid