是否可以在tomcat servlet中禁用jsessionid？

Question

是否可以在tomcat的URL中关闭jsessionid？jsessionid似乎对搜索引擎不太友好。

Answer 1

您可以使用此过滤器仅对搜索引擎禁用，但我建议对所有响应都使用它，因为它比不友好的搜索引擎更糟糕。它公开了可用于某些安全漏洞的会话ID（更多信息）。Tomcat 6（6.0.30之前的版本）您可以使用tuckey重写过滤器。Tuckey过滤器的示例配置：<outbound-rule encodefirst="true">&nbsp; <name>Strip URL Session ID's</name>&nbsp; <from>^(.*?)(?:\;jsessionid=[^\?#]*)?(\?[^#]*)?(#.*)?$</from>&nbsp; <to>$1$2$3</to></outbound-rule>Tomcat 6（6.0.30及更高版本）您可以在上下文配置中使用disableURLRewriting禁用此行为。Tomcat 7和Tomcat 8从Tomcat 7开始，您可以在会话配置中添加以下内容。<session-config>&nbsp; &nbsp; <tracking-mode>COOKIE</tracking-mode></session-config>

Answer 2

<session-config>&nbsp; &nbsp; &nbsp;<tracking-mode>COOKIE</tracking-mode>&nbsp;</session-config>&nbsp;Tomcat 7和Tomcat 8在您的Web应用程序web.xml中支持上述配置，该配置将禁用基于URL的会话。