Cómo configurar Tomcat para no codificar la identificación de la sesión en la URL cuando se invoca HttpServletResponse.encodeURL()

Question

Parece una pregunta estúpida a la que la respuesta sería "¡No use codificarURL()!" pero estoy trabajando con una base de código que usa etiquetas de anclaje netui en los JSP y necesito deshabilitar la escritura de JSESSIONID en las URL, ya que es un riesgo para la seguridad.

En WebLogic, puede configurar esto configurando url-rewriting-enabled en weblogic.xml (lo sé porque escribí esa característica en el servidor de WebLogic). Sin embargo, no puedo encontrar una opción de configuración equivalente para Tomcat.

Answer 1

No viene a la mente ninguna configuración. Pero esto es bastante fácil de hacer creando una primera entrada Filter escuchando en el url-pattern de interés (quizás /*?) Y reemplaza el ServletResponse por una implementación HttpServletResponseWrapper donde el encodeURL() devuelve el mismo argumento sin modificar.

Kickoff ejemplo:

public void doFilter(ServletRequest request, ServletResponse response) throws ServletException, IOException { 
    chain.doFilter(request, new HttpServletResponseWrapper((HttpServletResponse) response) { 
     public String encodeURL(String url) { 
      return url; 
     } 
    }); 
} 

Answer 2

Tomcat 6 soporta el atributo disableURLRewriting que se puede ajustar a true en su elemento Contexto:

http://tomcat.apache.org/tomcat-6.0-doc/config/context.html#Common_Attributes