W jaki sposób jest generowany identyfikator sesji?

Question

Podczas uruchamiania aplikacji sieciowej Java z apletem apletów (jak strony JSF lub JSP), gdzieś wzdłuż linii generowany jest "unikalny" identyfikator sesji, aby zidentyfikować sesję użytkownika.

Zastanawiam się, jak generowane są te identyfikatory sesji. Czy zawierają adres IP klienta? Znacznik czasu? Losowe liczby?

Po drugie, zastanawiam się, gdzie się dzieje to pokolenie? Czy jest to zależne od serwera, na którym działa aplikacja?

Answer 1

Jest specyficzny dla kontenera. Tomcat: http://tomcat.apache.org/tomcat-7.0-doc/security-howto.html#Manager

Answer 2

http://docs.oracle.com/cd/E17802_01/products/products/servlet/2.3/javadoc/javax/servlet/http/HttpSession.html#getId()

„Identyfikator przypisany przez kontener serwletów i jest zależna od implementacji.”

Jsessionid jest generowany za każdym razem, gdy tworzona jest nowa sesja.

Answer 3

Używany jest zwykle algorytm java.security.MessageDigest.

Zwykle generowany identyfikator jest po prostu zbiorem liczb losowych, aż do wymaganej długości, ale zmienia się w zależności od algorytmów używanych w różnych kontenerach serwletów.

W tomcat6 na przykład spojrzeć na:

ManagerBase.sessionIdLength 

i

ManagerBase.createSession() //which calls generateSessionId() 

Zobacz http://www.docjar.com/html/api/org/apache/catalina/session/ManagerBase.java.html