我有这个大问题。每次我向服务器发出新请求时，我的当前会话都会消失。
我已经检查了很多地方。我找不到问题所在。我也包括了 Tomcat 和应用程序中 web.xml 中的 session-config。我还允许我的浏览器接受 cookie。在每个浏览器中测试。它不工作。
我只是在使用 JSP/Servlet 开发一个简单的 java ee 应用程序。我只有在服务器机器上部署到 tomcat 后才会遇到问题。
【问题讨论】：
标签： java session tomcat servlets
造成这种情况的一个可能原因是具有“裸”主机名（即没有域部分的主机名）。如果您在 Intranet 中工作，这很常见。
问题是几乎所有浏览器的 cookie 都不会接受没有域名的主机名的 cookie。这样做是为了防止 evilsite.com 为 com 设置 Cookie（这很糟糕，因为这将是最终的跟踪 cookie）。
因此，如果您通过 http://examplehost/ 访问您的应用程序，它将不会接受任何 cookie，而对于 http://examplehost.localdomain/，它将接受（并返回）cookie 就好了。
令人讨厌的是，服务器无法区分“浏览器获取 cookie 并忽略它”和“浏览器从未获取 cookie”。因此，每次访问对服务器来说都像是一个全新的会话。
【讨论】：
多年后，我再也没有在这里发布答案。当时我很忙，忘记了这个问题。但是，今天我像往常一样在 Stackoverflow 中寻找解决方案，并看到这个通知提到我从这个问题中得到积分。似乎其他开发人员也面临同样的问题。所以，我试着回忆我是如何解决这个问题的。是的，我通过手动放回会话 ID 来跟踪/维护会话 ID 来解决。
请查看我在 servlet 中手动放回 jsessionid 的代码。
HttpSession session = request.getSession();
if (request.getParameter("JSESSIONID") != null) {
Cookie userCookie = new Cookie("JSESSIONID", request.getParameter("JSESSIONID"));
response.addCookie(userCookie);
} else {
String sessionId = session.getId();
Cookie userCookie = new Cookie("JSESSIONID", sessionId);
response.addCookie(userCookie);
}
【讨论】：
首先检查 webapp 的 context.xml 是否没有配置了 cookies="false"。
此外，很高兴知道 cookie 依赖于域、端口和上下文路径。如果页面中的链接指向 不同 域、端口和/或上下文路径，而不是当前请求 URL（您在浏览器地址栏中看到的那个），那么 cookie 将不会通过这将导致无法再识别会话，因此您将从 servletcontainer 获得一个新的。
如果这不是原因，请检查您是否出于某种原因没有对每个请求进行重定向。如果您在第一个请求中就已经这样做了，那么 cookie 将会丢失。你需要更换
response.sendRedirect(url);
通过
response.sendRedirect(response.encodeRedirectURL(url));
【讨论】：
sendRedirect 的说明？没时间就不用在这里解释了，你指点我就看文档。
在您的属性中
server.session.cookie.http-only=true
server.session.cookie.secure=true
删除这些设置，它将保留您的会话 id cookie，每次请求都会重置。
【讨论】：
由于 secure 标志，我遇到了陈旧的 https 会话 cookie（我的临时术语）问题。
我在 http 和 https 之间切换时遇到了这个问题。 https 会话存储的 cookie 永远不会被 http 会话覆盖。它永远留在了 FireFox 的记忆中。它在 FireFox 工具/选项/隐私/删除单个 cookie 中可见，而在 Send for 字段中仅用于安全连接。清除此单个 cookie 或所有 cookie 是一种解决方法。
我在用wget调试问题，发现有这样一个header：
Set-Cookie: JSESSIONID=547ddffae0e5c0e2d1d3ef21906f; Path=/myapp; Secure; HttpOnly
安全一词仅出现在 https 连接中并创建此陈旧的 cookie。这是一个 SecureFlag（参见 OWASP）。有一些方法可以在服务器端禁用此标志，这似乎是一个永久的解决方案，但可能并不安全。
或者是浏览器的错误，cookie没有被覆盖？
【讨论】：
尝试将 Live Http Headers plugin 添加到 firefox，并确保会话 cookie 确实从服务器传递到浏览器，并确保浏览器在下一次请求时再次将其发送回来。
【讨论】：
请验证会话是否未在您的代码中的某个位置失效。寻找类似request.getSession().invalidate();的代码
【讨论】：
如果有负载平衡配置，则必须在网络中配置一个路由，以将请求保留在同一服务器中。否则，每个请求将转到不同的服务器，从而丢失会话属性。
【讨论】：
编辑您的 tomcat context.xml 文件并将 <Context> 标记替换为 <Context useHttpOnly="false"> ，这对我有帮助。
【讨论】：
您是通过 http 还是 https 连接？ 对于 servlet，会话我的 cookie 具有“安全”和“httpOnly”属性。 “安全”表示用户代理仅在传输安全 (https/tls) 时才会发送 cookie。如果您使用 http 连接，则会在每个请求上创建一个新会话。 'httpOnly' 表示客户端脚本不能修改 cookie。
【讨论】：