JSESSIONID 如何生成的

Question

在登录功能中，登录成功之后只返回 User 对象，JSEESIONID是如何生成的，并且直接 set-cookie，为什么login会set-cookie，别的接口会吗，每次登录会产生一个新的 JSESSIONID，那我无限登录，是否就无限产生呢，那所有的JSESSIONID都生效吗，这样会有什么安全问题吗

Answer 1

提问者 张煜昆 2018-08-07 15:51:59

如何在登陆之后重新生成新的JSESSIONID？

Answer 2

polo哦 2018-08-06 22:06:08

1、sessionid是一个会话的key，浏览器第一次访问服务器会在服务器端生成一个session，有一个sessionid和它对应。tomcat生成的sessionid叫做jsessionid。

2、你说的什么set-cookie不是很明白你想问什么，是问为什么设置cookie到一级域名的意思？

3、不会无限产生的，只会有一个，并且每次登陆的sessionid都会不同

• 提问者 张煜昆 #1

  1.jsessionid 产生之后，会放到客户端的cookie当中，就是服务端返回set-cookie来设置的，也就是说不是在 BODY 当中的。
  2.现在知道是tomcat产生的，但是想知道具体是如何产生，浏览器第一次访问服务器并不会产生session，只有登陆才会有session，现在就是想知道具体是什么代码让他能够产生session，并且保存在服务端，且给客户端一个 sessionid。
  3.经过测试，每一次登录都会产生一个sessionid，而这几个sessionid在有效期内都是可以使用的，测试了3个，再多没有测试了，从安全的角度来说，同一时间应该只有一个有效，这个需要怎么做，并且希望能详细说一下生成机制，存放位置，具体代码模块

• 提问者 张煜昆 #2

  又测试了一下，的确第一次访问就会有sessionid