JSP仍然使用jsessionID创建session=false

Question

我有一个jsp页面，它返回HTTP页面上显示的内容，我的应用程序的其余部分是HTTPS。

现在，当我从HTTPS浏览到HTTP页面上的jsp时，我会丢失我的cookie (来自HTTPS的cookie是安全的，这在HTTP页面中是不允许的)。因此，我在jsp页面头中添加了session=false，但是当我调用jsp时，我仍然收到一个JSESSIONID，我想我不想这样做。

因为如果来自http页面的jsessionid与https中的jsessionid不同，我将被注销。

那么，如何防止JSP生成JSESSIONID呢？

ps:我正在使用tomcat 6。

Answer 1

指令<@page session="false">将消除在访问JSP时自动创建HTTP会话的问题。详见：16/generic.903/bp/j2ee.htm#1008677

澄清:如果您访问创建HTTP会话的其他页面(或资源)，然后使用指令<@page session="false">访问该页面，则会话将不会被销毁。

Answer 2

请验证您是否已将<@page session="false">应用于所有包含的jsp。如果包含的任何jsp没有相同的页属性，则父jsp仍将创建会话。