如何在Tomcat/Spring Boot仅返回重定向时关闭JSESSIONID Cookie

首先，我们来拆解你的问题：你没有主动调用getSession()，但Tomcat依然在重定向响应中返回了JSESSIONID Cookie，同时你需要保留其他路径的会话功能，不能全局禁用。

核心原因分析 #

Tomcat只有在会话被显式或隐式创建时才会发送JSESSIONID Cookie。你没调用getSession()，那大概率是应用中的某个过滤器、拦截器（比如Spring Security的默认过滤器）或者框架逻辑（比如Spring MVC的某些自动配置）隐式触发了会话创建。不过没关系，我们可以在特定请求处理器中直接干预响应。

解决方案：在请求处理器中主动控制Cookie #

以下是针对你的场景的可行代码修改，既能阻止JSESSIONID Cookie发送，又不影响其他路径的会话功能：

@RequestMapping(value = "/*")
public void doUrlRequest(final HttpServletRequest request, HttpServletResponse response) {
    // 1. 获取现有会话（不创建新会话），如果存在则立即失效
    HttpSession session = request.getSession(false);
    if (session != null) {
        session.invalidate();
    }

    // 2. 添加一个过期的JSESSIONID Cookie，覆盖Tomcat可能自动设置的Cookie
    Cookie jsessionCookie = new Cookie("JSESSIONID", "");
    jsessionCookie.setMaxAge(0); // 设置为0表示立即过期
    jsessionCookie.setPath("/"); // 保持和原Cookie一致的路径
    jsessionCookie.setHttpOnly(true); // 保持原Cookie的HttpOnly属性
    response.addCookie(jsessionCookie);

    // 处理重定向逻辑
    if (redirect != null) {
        response.sendRedirect(redirect);
    }
}

额外排查：为什么会话会被隐式创建？ #

如果修改后依然出现JSESSIONID Cookie，建议检查你的应用过滤器链：

• 查看是否有Spring Security过滤器（默认会创建会话），可以针对性配置security:session-management禁用该路径的会话创建
• 检查自定义过滤器/拦截器，是否有调用request.getSession()或request.getSession(true)的代码

关于你之前的尝试（会话跟踪模式） #

你调用request.getServletContext().setSessionTrackingModes()时报错，是因为这个方法只能在Web应用启动之前调用（比如在ServletContextListener的contextInitialized方法中），运行时无法修改。而且这种方式是全局生效的，不符合你只针对特定路径的需求，所以不建议使用。

内容的提问来源于stack exchange，提问作者Chloe