Problema de la sesión de ColdFusion: varios usuarios detrás de una IP de proxy: cftoken y cfid parecen compartidos

Question

Tengo una aplicación que utiliza la gestión de sesión de ColdFusion (en lugar de la administración de sesiones J2EE).

Tenemos un cliente, que recientemente nos ha cambiado el tráfico de su empresa para que venga a través de un servidor proxy en su red.

Por lo tanto, a nuestro servidor ColdFusion, parece que todo el tráfico que viene de esta dirección una dirección IP, para todas las cuentas de ésta empresa ..

De las variables de sesión, Parte 1 se mantiene en una cflock, y Parte 2 se mantiene en variables de sesión editables. Es posible que no entienda bien, pero lo hemos hecho de esta manera, ya que modificamos algunos valores según sea necesario durante el uso de la aplicación.

Ahora nos encontramos con un problema de este cliente que tiene sus variables de sesión mezcladas (?). Tenemos un caso en el que establecemos una marca de tiempo ... y cuando llega el momento de buscarlo, está vacío. Por lo que parece, esto está sucediendo debido a otro usuario en la misma ficha.

Mi idea inicial es estudiar la modificación de nuestra gestión de sesiones existente para generar de alguna manera un cftoken/cfid único, o para comenzar a usar jsession_ID, si esto resuelve el problema.

He hecho algunas investigaciones básicas sobre este tema y no he encontrado nada similar, así que pensé en preguntar aquí.

Gracias!

Answer 1

Me he encontrado con problemas similares de forma intermitente durante años.

Las cookies de sesión parecen ayudar (no hay datos concretos sobre eso), pero una solución que he implementado de forma reponsable es usar encabezados de caducidad sin caché y caché en cada página.

http://www.bpurcell.org/blog/index.cfm?entry=1075&mode=entry da algunas especificaciones sobre cómo implementar esto.

En casos extremos, nos hemos visto obligados a pasar el token y cfid en los enlaces/formularios, pero eso es un PITA para implementar, así que primero probaría la solución de caducidad/prevención de caché.

Answer 2

Hasta donde yo sé, no hay "contras" en el uso de las variables de sesión J2EE, a menos que realmente necesite que la sesión esté activa después de que el usuario cierra el navegador. Creo que deberías probar y ver cómo se comporta la aplicación con él y ver si eso te ahorra problemas de refactorización.

para estar seguro de que está utilizando todos los demás ajustes intente esto:

<cfdump var="#APPLICATION.GetApplicationSettings()#" label="Application settings" /> 

Si ha sessionmanagement y galletas cliente se activa, todo está bien, a fin de tratar las variables de sesión J2EE.