Session 在java中设置会话的正确且安全的方法是什么

我知道我们可以使用 曲奇 URL重写 隐藏表单字段 HTTPSession对象

在Java中设置会话最安全的方法是什么

cookie：客户端可以控制cookie值的操作，此外，这些也会被删减到会话劫持或用户模拟攻击，另一个缺点是大小限制

隐藏表单字段：在源代码中可以很容易地看到

URL重写：有其自身的限制，例如，如果用户通过任何指向第三方的链接离开我们的站点，然后返回站点，如何确保URL包含会话信息（当然是加密的）。例如，当去支付网关，然后回到网站

HTTPSession对象：我假设这是安全的，因为它位于服务器端。但是，它如何在内部工作以及如何识别用户

---

我可以始终使用安全证书并使用SSL进行安全通信，但标准做法是什么？

如果使用服务器端会话，标准做法是使用cookie

如果您使用SSL，那么会话劫持的风险将降至最低。客户端可以操纵cookie值，但是客户端猜测另一个用户的cookie ID的机会非常非常小。此外，如果您要求客户端对站点进行身份验证，通常还会有一个绑定到会话cookie的身份验证cookie，因此更改其中一个会使另一个无效

不知道你说的尺寸限制是什么意思