如何使用JavaServlets创建会话却不生成Cookie？

要实现即使浏览器启用Cookie也完全不使用任何Cookie的需求，核心是让Servlet容器仅通过URL重写来跟踪会话，彻底关闭Cookie会话跟踪机制。

方案一：全局配置会话跟踪模式（Servlet 3.0+） #

通过ServletContext.setSessionTrackingModes()指定仅使用URL模式，容器创建会话时就不会自动生成JSESSIONID Cookie。可以在上下文监听器中初始化这个配置：

@WebListener
public class NoCookieSessionConfig implements ServletContextListener {
    @Override
    public void contextInitialized(ServletContextEvent event) {
        ServletContext ctx = event.getServletContext();
        // 仅启用URL重写的会话跟踪方式
        ctx.setSessionTrackingModes(Collections.singleton(SessionTrackingMode.URL));
    }

    @Override
    public void contextDestroyed(ServletContextEvent event) {}
}

配置完成后，调用request.getSession()创建会话时，不会有Cookie被设置到响应头里。此时必须用response.encodeURL()处理所有需要保持会话的URL，确保会话ID被附加到URL中：

HttpSession session = request.getSession();
// 对跳转URL进行编码，自动附加会话ID
String encodedUrl = response.encodeURL("/user/dashboard");
response.sendRedirect(encodedUrl);

方案二：针对特定用户的自定义会话处理 #

如果全局禁用Cookie会话跟踪不符合需求，仅需对开启“禁用Cookie”选项的用户生效，可以手动管理会话：

• 生成唯一的会话标识（比如UUID）
• 将会话数据存储到ServletContext、Redis或其他缓存中，以标识为key
• 手动将标识附加到所有需要保持会话的URL上，在请求时从URL参数中提取标识，获取对应的会话数据

这种方式完全脱离容器的HttpSession机制，更灵活但需要自行处理会话过期、数据安全等问题。

注意事项 #

• 全局配置会影响所有用户，若需区分用户，优先选择自定义会话方案
• 使用URL重写时，所有内部跳转、静态资源引用都要经过编码，否则会导致会话丢失

内容的提问来源于stack exchange，提问作者Matteo B