使用shiro的session时出现不能登陆

最新推荐文章于 2022-08-05 11:27:31 发布

weixin_34334744

最新推荐文章于 2022-08-05 11:27:31 发布

阅读量620

点赞数

CC 4.0 BY-SA版权

文章标签： java

原文链接：http://www.cnblogs.com/gj1990/p/7997608.html

本文探讨了在使用 Apache Shiro 进行身份验证时遇到的 JSESSIONID 被覆盖的问题，详细解释了问题产生的原因，并提供了解决方案——更改 Shiro 默认的 Session ID 名称。

经过不断调试最终配置这个就可以了

<bean id="sessionIdCookie" class="org.apache.shiro.web.servlet.SimpleCookie">
        <constructor-arg value="YWBASE_JSESSIONID" />
    </bean>

原因分析:

1.我们将浏览器的cookie清空.

来到我们登陆的首页,我们查看下cookie

我们首次请求登陆页面的时候是不带cookie的.

下面我们开始登陆.

可以看到我们的 JSESSIONID=44076820-d5a0-4ba2-a8e1-60e827c6dc46

登陆后会跳转到首页,我们来看下到首页时携带的cookie

访问首页时 cookie变成了 JSESSIONID=E13DDEDCB669C72897A8B291CD8AA440

到这里我们可以发现JSESSIONID 在登陆的时候,和在登陆成功后访问首页时所携带的cookie是不一样的.所以服务器不能验证通过..

那么为什么JSESSIONID会发生变化呢, 因为shiro 的session 名称默认是JSESSIONID ,而jsp servlet 默认也是JSESSIONID ,这就会导致两种session 的id 会互相覆盖.

这就出现了死循环.

携带tomcat的sessionid ,shiro 不能验证通过.所以会跳转到登陆页面.

然后进行登陆验证,成功后会携带shiro的sessionid ,然后tomcat 中不能通过验证,因为这个sessionid在tomcat中不存在,tomcat会重新再次给你的cookie中设置一个sessionid,

然后后续的操作你将会带上tomcat的sessonid,然后shiro验证不通过,继续到登陆页面...

解决的办法就是不要让shiro使用默认的sessionid 改名字就可以了

登陆成功的cookie

jsessionid 不被覆盖,就可以正常验证通过了

转载于:https://www.cnblogs.com/gj1990/p/7997608.html