apache tomcat上的jsp servlet中的会话不匹配

Question

我在我的应用程序中遇到了一个非常奇怪的问题，它工作正常，但有时我不得不面对一个问题。

我有一个在 apache tomcat 上运行的应用程序，问题在于会话。当我登录我的应用程序时，我将用户名存储在会话中，每天有 100-200 个用户登录我的应用程序。

我的应用程序中有一个打印现金收据的模块，这是实际的问题，有时它会打印另一个用户的用户名。假设登录的用户名为adam，但它会打印出另一个用户的名称john。

这种情况很少发生，我也注意到当我重新启动我的tomcat服务器时遇到了这个问题。

这是apache tomcat的问题还是和我的代码有关的问题？

Answer 1

您需要检查会话劫持尝试。登录时将 ipaddress 和用户代理存储在会话中。对于所有后续调用，在每个页面的顶部，检查请求中的 ipaddress 和 user-agent 是否与会话中的匹配。如果没有，则使会话无效并重定向到登录页面（将用户踢出）。