Struts2のSessionAwareとaction chaining
Struts2ではactionがSessionAwareを実装していると、HttpSessionをマップインターフェースで注入してくれる。これはいいんだけど、セッションフィクスエーション攻撃の防止のために、HttpSession.invalidate()してから、業務処理アクションにchain、そのアクションもSessionAwareって場合に、古いセッションが注入されてしまうようだ。で、IllegalStateException。アプリケーションレベルでは、いい回避策が思い浮かばない...
