Apache Tomcat 8.5下JSP会话ID无法持久化问题咨询

针对你遇到的Tomcat 8.5下不同目录Ajax请求Session ID不一致的问题，结合新笔记本出现、旧台式机正常的场景，常见原因和排查方向如下：

1. 跨域请求导致Cookie未携带 #

如果另一目录的Ajax请求路径与表单页面的协议、域名、端口不完全一致（比如表单用localhost:8080/app/ebc访问，Ajax请求192.168.1.100:8080/app/save），会被浏览器视为跨域请求。默认情况下，跨域Ajax不会携带Cookie（包括JSESSIONID），导致每次请求Tomcat都会新建Session。

新笔记本的访问方式可能和旧台式机不同（比如用IP而非localhost），触发了跨域检测，而旧台式机的同源请求不受限制。

2. Cookie Path属性不匹配 #

Tomcat生成的Session Cookie默认Path是当前Web应用的上下文路径（比如/app），但如果项目中另一目录的页面或Ajax请求的路径超出了Cookie的Path范围，浏览器不会携带该Cookie。

比如：

• 表单页面在/app/ebc，若Cookie的Path被配置为/app/ebc，而Ajax请求到/app/save，则请求不会携带JSESSIONID，导致新建Session。

3. 浏览器隐私策略差异 #

新笔记本的浏览器可能开启了严格的隐私设置（比如禁用第三方Cookie、开启隐私模式），而旧台式机的浏览器设置更宽松。当另一目录的Ajax请求属于第三方上下文时，浏览器会拒绝携带Session Cookie，导致每次请求生成新的Session ID。

4. Ajax请求未配置withCredentials #

如果确实是跨域场景，即使服务器端配置了CORS允许跨域，Ajax请求也需要显式设置withCredentials为true，否则浏览器不会携带Cookie：

• 原生JS示例：

var xhr = new XMLHttpRequest();
xhr.open('GET', '/app/save', true);
xhr.withCredentials = true;
xhr.send();

• jQuery示例：

$.ajax({
  url: '/app/save',
  xhrFields: {
    withCredentials: true
  }
});

若另一目录的Ajax代码未添加此配置，新笔记本的浏览器严格执行同源策略会导致Cookie无法携带。

排查步骤 #

1. 检查浏览器Network面板：打开浏览器开发者工具（F12），切换到Network标签，查看Ajax请求的Request Headers中是否包含Cookie: JSESSIONID=xxx。若没有，说明Cookie未携带。
2. 验证请求同源性：对比表单页面URL和Ajax请求URL的协议、域名、端口是否完全一致。
3. 查看Tomcat Cookie配置：检查Tomcat的conf/context.xml或项目的META-INF/context.xml，确认<CookieProcessor>的sessionCookiePath属性是否设置正确（默认应为/或应用上下文路径）。
4. 检查浏览器设置：临时关闭新笔记本浏览器的隐私模式、第三方Cookie限制，测试问题是否消失。
5. 核对Ajax代码：检查另一目录的Ajax请求是否添加了withCredentials配置（跨域场景下）。

内容的提问来源于stack exchange，提问作者user1729354