WebSphere Application Server обычно не требует какой-либо авторизации доступа к сеансу HTTP. Любая сторона с действительным идентификатором сеанса может получить доступ к любому сеансу. Хотя идентификаторы сеанса вряд ли можно угадать, возможно, можно получить идентификаторы сеанса с помощью других средств. Чтобы снизить риск этой формы атаки, вы должны рассмотреть возможность включения безопасности сеанса. Этот параметр настроен на
сервер> имя сервера> веб-контейнер> управление сеансом
Установите флажок с надписью интеграция безопасности. Как только это будет сделано, WebSphere Application Server будет отслеживать, какой пользователь (как определяется учетными данными LTPA, которые они представляют) владеет каким сеансом, и будет гарантировать, что только этот пользователь может получить доступ к этому сеансу.
Чтобы сделать эту работу, вы должны использовать механизмы аутентификации и авторизации, предоставляемые WebSphere Application Server. Другими словами, вам нужно будет включить защиту приложений и использовать роли безопасности JavaEE .