Tomcat基础认证下未自动创建Session及JSESSIONID的原因分析

现象与行为差异 #

• 使用Tomcat部署Java Web应用、采用Basic Authentication做登录校验时，Tomcat默认不会创建任何Session，Chrome、Firefox浏览器中均看不到JSESSIONID Cookie
• 此时在doGet/doPost方法中调用request.getSession(false)会返回null，只有显式调用request.getSession()或request.getSession(true)时，才会成功创建Session并下发JSESSIONID Cookie
• 同环境下部署的第二个结构几乎一致的Java Web应用，不需要手动调用request.getSession()就能拿到有效Session，二者Basic Auth配置无明显差异

根因排查结论 #

1. Tomcat在Basic Auth场景下默认不会主动创建Session及JSESSIONID Cookie，该行为符合Servlet规范，不属于配置错误
2. 第二个应用自动生成Session的原因是其web.xml中配置了<error-page>错误页条目，Tomcat处理请求时会转发到对应的JSP错误页，而JSP页面初始化阶段会隐式创建Session
3. JSP页面默认开启会话支持，初始化时会执行PageContextImpl.initialize()方法，核心逻辑如下：

   // Setup session (if required)
   if (request instanceof HttpServletRequest && needsSession) {
       this.session = ((HttpServletRequest) request).getSession();
   }
   

   不管是登录表单JSP还是错误页JSP，只要请求流程中加载了默认配置的JSP页面，都会隐式调用getSession()完成Session创建，这就是两个应用行为不一致的核心原因，和Basic Auth本身的配置无关。

可靠实践 #

如果业务逻辑依赖可用的Session，不要依赖JSP加载、请求转发等隐式流程创建Session，唯一稳定可靠的方式是在Servlet处理逻辑中，在需要使用Session的位置显式调用request.getSession()完成Session的获取或创建，避免因页面配置、转发逻辑差异导致的Session缺失问题。

内容的提问来源于stack exchange，提问作者morbac