jsessionid 라는게 

톰켓에서 jsp를 사용할때 서버에서 발급해주는 토큰 개념으로 알고있는데 

로그인했을때 이게 토큰으로 정보가 jsessionid에 쿠키에 담겨있잖아요 

이때 a사용자가 로그인하고, f12 관리자도구 쿠키에서 jsessionid의 값을 C663FA500332D3B4B69870D45A3C9567 이런식으로 긁어서 

b 사용자한테 건낸다면 b사용자는 로그인 과정을 거치지않고 브라우저 메인에서 jsessionid값을 a사용자 쿠키값으로 넣으면 

b사용자가 a사용자의 정보로 로그인되는데 

이 과정을 막을려면 어떻게해야할지 잘 모르겠더라구요 

로그인 시도시 세션에 ip 담아두고 로그인시도할때 로그인시도한 현재 ip와 세션에담긴 ip 비교해서 틀리면 실패처리를 했는데도

jsessionid 작동 방식을 잘 몰라서그런가 로그인쪽 컨트롤러를 타지도않아서 ip비교도 의미가없는것 같더라구요 

저걸 근본적으로 어떻게 막아야할지 모르겠네요 

사이트 점검내용중 jsessionid 탈취해서 로그인시도하면 로그인이 된다고 막으라는데 ;;

애초에 https 사용하고있어서 일반적으로는 jsessionid 탈취가 안되거든요... 자기네들이 로그인해서 세션 아이디값 넘긴거면서 흠....

아무튼 어떤식으로 접근해서 jsessionid로 강제 로그인하는것을 막을수있을까요? 혹시 참고할만한 문서나 사이트가있는지 여쭤봐도될까요ㅜㅜ...