Session安全管理 修复建议

（1）合规方案
为避免会话标识符易被猜测，Session ID应具备随机性。
（2）安全编码示例：
由中间件控制Session ID的生成。
在Apache Tomcat中，可通过context.xml的节点配置SessionID的生成算法及字符长度；

<Manager
         sessionIdLength="20"
         pathname="SESSIONS.ser"
         maxActiveSessions="8000"
         secureRandomAlgorithm="SHA1PRNG"
         secureRandomClass="java.security.SecureRandom"
/>

相关的配置属性设置解释如下表：

将通过tomcat的配置文件，指定SessionID的生成方式，通过配置安全随机算法来保证SessionID的随机性。
服务器端自主生成Session ID。
当用户的登录成功后，应注销原来的Session ID并生成新的Session ID。参考如下代码：

    public HttpSession changeSessionIdentifier(HttpServletRequest request) throws AuthenticationException {
// get the current session
        HttpSession oldSession = request.getSession();
// make a copy of the session content
        Map<String, Object> temp = new ConcurrentHashMap<String, Object>();
        Enumeration e = oldSession.getAttributeNames();
        while (e != null && e.hasMoreElements()) {
            String name = (String) e.nextElement();
            Object value = oldSession.getAttribute(name);
            temp.put(name, value);
        }
// kill the old session and create a new one
        oldSession.invalidate();
        HttpSession newSession = request.getSession();
        User user = ESAPI.authenticator().getCurrentUser();
        user.addSession(newSession);
        user.removeSession(oldSession);
// copy back the session content
        for (Map.Entry<String, Object> stringObjectEntry : temp.entrySet()) {
            newSession.setAttribute(stringObjectEntry.getKey(), stringObjectEntry.getValue());
        }
        return newSession;
    }