Spring Boot控制器层请求端点时如何创建新Tomcat原生HttpSession？

问题根源 #

当客户端请求携带JSESSIONID Cookie时，Tomcat会自动绑定到已存在的Session实例。直接调用request.getSession(true)只会返回该已有Session，无法生成新的。

解决步骤 #

要创建全新的活跃Session，必须先销毁当前关联的旧Session，再生成新实例，具体实现如下：

控制器代码示例 #

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpSession;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class SessionController {

    @GetMapping("/new-session")
    public String generateNewSession(HttpServletRequest request) {
        // 获取当前已存在的Session（不自动创建）
        HttpSession oldSession = request.getSession(false);
        if (oldSession != null) {
            // 销毁旧Session，触发客户端JSESSIONID Cookie失效
            oldSession.invalidate();
        }
        // 创建并返回新Session
        HttpSession newSession = request.getSession(true);
        return "新Session ID: " + newSession.getId();
    }
}

关键细节解析 #

• request.getSession(false)：仅返回已关联的Session，无则返回null，避免自动创建新Session。
• oldSession.invalidate()：彻底销毁旧Session，清除所有属性，同时向客户端发送Set-Cookie头使旧JSESSIONID过期。
• request.getSession(true)：此时旧Session已销毁，客户端无有效JSESSIONID，Tomcat会生成全新Session并返回新的JSESSIONID给客户端。

注意事项 #

• 若跳过销毁步骤直接调用request.getSession(true)，只要客户端携带有效JSESSIONID，Tomcat会一直复用原有Session。
• 销毁旧Session前，若需保留部分数据，需先将数据取出，待新Session创建后重新存入。

内容的提问来源于stack exchange，提问作者Marcelo