java - jSessionId 真的是独一无二的吗？

Question

为了说明一些情况，我正在开发一个 API 来跟踪网站上的用户操作(匿名用户也是如此)。到目前为止，我们使用 jsessionId 来识别每个用户及其操作。

该 API 现在可以在 Tomcat 和 JBoss 上运行。

真正重要的问题是，既然我们每天分析一次所有数据，那么这个 jsessionId 的唯一性是否以任何方式一整天都得到保证？或者，不同时，其他用户能否获得其他用户之前使用的相同 jsessionId？

提前致谢。

Answer 1

抱歉，未指定。它只需要在那个时间点对于那个 jvm 是唯一的。也就是说， session ID 一天可以重复使用多次，只要没有其他人有 session 。我同意大多数实际实现可能会提供更强的保证，但我认为您不能指望它。

看看this mailing list - 人们在其中讨论了 tomcat 和 resin 中的 session ID 重用。

因此，基本上假设 session ID 是唯一的，只有在 session 被销毁之前才成立。