セッション属性がフィルタからサーブレットに渡すメカニズムは何ですか？

Question

Webappではいくつかのフィルタを使用していますが、フィルタの1つでは、BalusCが「セッション乱用」と記述したものを使用しています。基本的には、私は次のようなことをします：

request.getSession().setAttribute("abuse", ...); 

その後、サーブレットでこの属性を読み返しています。ブラウザが302を受信し、リダイレクトを行い、私はリダイレクトをやっているし、それは私が失われてるところだから、私が代わりにセッション属性要求属性を使用してい

...

した後、どのようにTomcatを行います（リダイレクト後のもの）が、最初のフィルタ（リダイレクトが発生する前のもの）内で返されたセッションと同じ「セッション」に属していることを知っていますか？

JSESSIONIDを無効にしている場合、クライアントのブラウザでJavaScriptとCookieの両方がオフになっていても、との場合でも動作しますか？

私はJSESSIONIDは、SEOのためにと使いやすさのために無効になっていることを指摘しなければならない：はstackoverflow.comがそれらで無意味technobabblesで超長いURLを表示しないん同じように、私のWebアプリケーションではないのいずれかしばらくJavaScriptとクッキーユーザーがオフにすることができます。だから私は、これら3つの "クライアントサイドの機能"が利用できなくても、私がやっている "セッションの乱用"がうまくいくかどうかを知りたいと思っています。

Answer 1

Cookieを無効にしてURLの書き換えを無効にした場合、サーブレットコンテナはセッションを追跡できません。実際に私はSSLを使用することができます - SSLに組み込まれたセッショントラッキングがありますが、多くのサーブレットコンテナがこの方法をサポートしているかどうかわからず、純粋なSSLが必要です。

セッションを追跡しないと、各セッションが作成されて孤立します。