如何限制JasperReport Server的JSESSION仅对指定报表页面生效

问题根因 #

你当前的方案无效是因为Cookie的Path属性仅匹配URL的路径部分（即?之前的内容），完全不识别查询参数。你把完整带查询参数的报表URL赋值给Path，浏览器实际只会识别到/jasperserver/flow.html这一段路径，所有访问该路径的请求（不管后面带什么参数，包括访问资源库的其他flow请求）都会携带JSESSIONID Cookie，自然达不到限制效果。
另外你的现有代码还有两个隐含问题：

• SimpleDateFormat是线程不安全类，多线程并发调用setCookieValue方法时会出现时间计算异常，建议替换为Java 8+的DateTimeFormatter，或者用ThreadLocal包装SimpleDateFormat。
• 你给POST请求加了secure: true头，若你本地测试用的是HTTP协议而非HTTPS，浏览器会直接拦截该Cookie，不会在后续请求中携带。

可行实现方案 #

方案1：反向代理校验（无侵入，推荐） #

不需要修改Jasper服务源码，在前端和Jasper服务之间加一层Nginx反向代理即可实现：

1. 你现有登录接口认证通过后，新增一步存储逻辑：用Redis或本地缓存建立JSESSIONID和对应允许访问的**完整报表URL（含查询参数）**的映射关系，过期时间和Cookie过期时间统一设为5分钟。
2. Nginx配置规则：所有发往Jasper服务的请求先做两层校验
   • 提取请求Cookie中的JSESSIONID，去缓存查询对应的允许访问URL
   • 对比当前请求的完整URL（含查询参数）和缓存中存储的允许URL，不一致则直接返回302跳转到Jasper登录页，同时删除缓存中的对应映射让会话直接失效。

方案2：Jasper自定义过滤器（适合有二次开发权限的场景） #

如果你有权限修改Jasper服务的源码，可直接在Jasper的认证过滤器链中新增自定义过滤器：

1. 你方登录接口生成会话时，给会话新增一个属性permitReportUrl，存储允许访问的完整报表URL。
2. 自定义过滤器逻辑：每次请求拿到当前会话后，校验请求URL和会话存储的permitReportUrl是否一致，不一致则直接销毁会话，重定向到登录页。

方案3：代理路径隔离（最小改动方案） #

不需要额外中间件，仅调整你现有逻辑即可实现：

1. 你新增一个报表代理接口，路径格式为/report-proxy/{唯一会话标识}
2. 原有登录接口认证通过后，把Cookie的Path属性设置为/report-proxy/{唯一会话标识}，同时在缓存中存储该唯一标识对应的JSESSIONID和目标报表URL。
3. 用户访问代理路径时，你方服务从缓存中取出对应JSESSIONID和报表URL，转发请求到Jasper服务，将响应返回给用户。
   该方案下，用户直接访问Jasper原路径时，因为Cookie的Path和路径不匹配，根本不会携带JSESSIONID，自然无法访问其他资源。

内容的提问来源于stack exchange，提问作者TwoDent