如何解决Oracle ADF中JSESSIONID的Unix时间戳泄露漏洞？

你看到的感叹号后的时间戳是WebLogic Server默认生成的扩展会话ID的一部分，格式为sessionID!timestamp!jvmID，要移除该时间戳可通过以下两种方式操作：

方式一：通过WebLogic管理控制台配置 #

• 登录WebLogic管理控制台，进入目标服务器的配置页面
• 依次展开「配置」→「会话」
• 找到「使用扩展会话ID」选项，取消勾选（将其设置为false）
• 保存配置并重启服务器

方式二：修改应用的weblogic.xml配置文件 #

在ADF应用的WEB-INF/weblogic.xml文件中，添加或更新<session-descriptor>节点：

<session-descriptor>
  <!-- 禁用扩展会话ID，去掉时间戳和JVM ID后缀 -->
  <use-extended-session-id>false</use-extended-session-id>
</session-descriptor>

修改后重新部署应用即可。

注意事项 #

如果应用运行在WebLogic集群环境中，禁用扩展会话ID后，需确保集群的会话路由机制（如基于Cookie的路由或其他负载均衡策略）仍能正常工作，避免影响会话亲和性。

内容的提问来源于stack exchange，提问作者Yevgeniy