Springboot如何去掉URL后面的jsessionid

如何去掉url后面的jsessionid

url中有jsessionid生成的原因

jsessionid是标明session的id，它存在于cookie中，一般情况不会出现在url中，服务器会从客户端的cookie中取出来，但是如果客户端禁用了cookie的话，就要重写url了，显式的将jsessionid重写到url中，方便服务器来通过这个找到session的id。

如果客户端请求的cookie中不包含jsessionid，服务端调用request.getsession()时就会生成并传递给客户端，此次响应头会包含设置cookie的信息

如果客户端请求的cookie中包含jsessionid，服务端调用request.getsession()时就会根据jsessionid进行查找对象，如果能查到就返回，否则就跟没传递jsessionid一样；

解决方式一

springboot2.0之前版本

在 .yml配置文件中做如下配置

解决方式二

在启动类中继承springbootservletinitializer，然后重写这个方法 （此方法在springboot2.0之前版本没有起作用，暂时做记录）

public void onstartup(servletcontext servletcontext) throws servletexception {
        super.onstartup(servletcontext);
 
        // this will set to use cookie only
        servletcontext.setsessiontrackingmodes(
                collections.singleton(sessiontrackingmode.cookie)
        );
        // this will prevent any js on the page from accessing the
        // cookie - it will only be used/accessed by the http transport
        // mechanism in use
        sessioncookieconfig sessioncookieconfig =
                servletcontext.getsessioncookieconfig();
        sessioncookieconfig.sethttponly(true);
    }

java关于jsessionid和url

在写jsp程序时，经常发现url中有一个jsessionid参数，在刷新之后就消失了。一些人认为这是个一个bug。

这不是一个bug。当一个新的session被创建时，server并不确定客户端是否支持cookies，所以它生成了一个cookie，就是url中jsessionid的值。当客户端在第二次带着cookie返回时，服务器就知道jsessionid不是必须的，所以就会删掉它。如果客户端没有带着cookie返回，服务器就会继续在url中添加jsessionid参数。

但是现在几乎很难想象浏览器会不支持cookie。jsessionid参数也可能会给seo和安全带来一定问题。

对seo的冲击

有些搜索引擎可能会惩罚（找不到更好的词形容）那些具有多个不同url但内容相同的网站。因为sessionid是唯一的，所以多个搜索机器人将返回相同的内容但url不同。

这是一个严重的问题。我们试一下用google搜索inurl:;jsessionid，google的搜索结果：about 211,000,000 results (0.25 seconds)

安全问题

在url中包含sessionid不是一个明智之举，这将为攻击者提供便利。

解决之道

不幸的是servlet specification和servlet containers中并未提供一个标准的方法去禁止在url中带jsessionid。

不过我们可以通过servlet filter去解决这个问题。

package com.lgete.web.filter;
import java.io.ioexception;
import javax.servlet.*;
import javax.servlet.http.*;
 
/**
 * @author zhu jia <a
 *         href="mailto:[e-mail]" rel="external nofollow" >[e-mail]</a>
 * 
 */
public class urlsessionfilter implements filter {
    public void dofilter(servletrequest request, servletresponse response,
            filterchain chain) throws ioexception, servletexception {
        if (!(request instanceof httpservletrequest)) {
            chain.dofilter(request, response);
            return;
        }
 
        httpservletresponse httpresponse = (httpservletresponse) response;
        httpservletresponsewrapper wrappedresponse = new httpservletresponsewrapper(
                httpresponse) { 
            public string encoderedirecturl(string url) {
                return url; 
            }
 
            public string encoderedirecturl(string url) { 
                return url; 
            }
 
            public string encodeurl(string url) { 
                return url; 
            }
 
            public string encodeurl(string url) { 
                return url; 
            } 
        }; 
        chain.dofilter(request, wrappedresponse); 
    }
 
    public void init(filterconfig filterconfig) { 
    } 
    public void destroy() { 
    } 
}

在web.xml中添加以下内容：

<filter>     
    <filter-name>urlsessionfilter</filter-name>
    <filter-class>zj.web.filter.urlsessionfilter</filter-class>
</filter>
 
<filter-mapping>
    <filter-name>urlsessionfilter</filter-name>    
    <url-pattern>/*</url-pattern>
</filter-mapping>

以上为个人经验，希望能给大家一个参考，也希望大家多多支持。