如何清除JSESSIONID Cookie？或阻止Tomcat自动生成该Cookie

下面给你几个实用的解决方案，从配置到代码层面都覆盖到：

1. 全局/应用级禁用Tomcat会话管理器 #

直接修改Tomcat配置彻底切断JSESSIONID的生成：

• 全局生效：在Tomcat的conf/context.xml里的<Context>标签中添加：

<Manager pathname="" />

• 单应用生效：把上面这段配置放到目标应用的META-INF/context.xml中。
  这个配置会禁用Tomcat的会话管理模块，自然就不会生成JSESSIONID Cookie了。

2. 用过滤器拦截移除响应中的JSESSIONID #

如果不想动Tomcat全局配置，写个过滤器在响应发送前把JSESSIONID Cookie删掉：

public class JSessionIdFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        chain.doFilter(request, response);
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        Cookie[] cookies = httpResponse.getCookies();
        if (cookies != null) {
            for (Cookie cookie : cookies) {
                if ("JSESSIONID".equals(cookie.getName())) {
                    httpResponse.removeCookie(cookie);
                    break;
                }
            }
        }
    }

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {}
    @Override
    public void destroy() {}
}

然后在web.xml里注册这个过滤器，让它拦截所有请求：

<filter>
    <filter-name>JSessionIdFilter</filter-name>
    <filter-class>你的包名.JSessionIdFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>JSessionIdFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

3. 精准清除已有JSESSIONID Cookie #

之前你设置maxAge=0没生效，大概率是Cookie的路径、域名和Tomcat生成的不匹配。清除时要完全对齐原Cookie的属性：

public void handleLogout(HttpServletRequest request, HttpServletResponse response) {
    Cookie clearCookie = new Cookie("JSESSIONID", null);
    clearCookie.setMaxAge(0);
    // Tomcat默认的JSESSIONID路径是"/"，必须和这个一致
    clearCookie.setPath("/");
    // 如果你的应用绑定了特定域名，也要加上这行
    // clearCookie.setDomain("你的域名.com");
    response.addCookie(clearCookie);
}

4. 排查框架隐式创建会话的情况 #

很多Web框架（比如Spring MVC、Struts）会在一些场景下偷偷创建会话，比如处理文件上传、用Flash属性存临时数据。检查下你的框架配置：

• Spring MVC里有没有用@SessionAttributes注解
• 有没有启用依赖会话的组件（比如某些缓存、状态管理类）
  把这些不需要的会话依赖关掉，就能避免框架触发会话创建。

内容的提问来源于stack exchange，提问作者user3494187