Glassfish4.1でセッションが引き継がれない

Question

前提・実現したいこと

Struts2を使ってwar形式のWEBアプリを作っています。
作成したwarをGlasfishにデプロイしたら、
セッション情報が引き継がれず、アプリが正しく動作しません。

GlassFish側の不具合なのか、設定で足りないものがあるのか、
もしくは実装すべき内容が足りてないのか判別がつかないので、
何が悪いのか教えてもらえませんか？

デプロイ環境

• CentOS Linux release 7.7.1908 (Core)
• GlassFish 4.1

Glassfish 4.1 は公式サイト https://javaee.github.io/glassfish/download からダウンロードしたものを
ほぼカスタマイズ無しで起動したもの

発生している問題・エラーメッセージ

• ログイン画面で入力した情報をセッションに保存しても、他の画面でセッションから情報を取得できない
• 画面を再読み込みするたびにセッションIDが新しいものになっている（毎回セッションが新規作成されている？）

試したこと

• 開発環境の Tomcat9 では正しくセッションが引き継がれる
• Tomcat 7.0.68 にデプロイした場合は正しくセッションが引き継がれた
• GlassFish 4.1.2 にもデプロイしてみたが同じ現象が発生した

該当のソースコード

https://github.com/blhsrwznrghfzpr/glassfish-test
/glassfish-test/loginにアクセスしてログインボタンを押す
↓

• ログでuserInfo is nullが出力されてしまう
• 再読み込みのたびにセッションIDが変わる

public class Menu extends ActionSupport implements SessionAware, ServletRequestAware {

	private static final Log log = LogFactory.getLog(Login.class);

	private static final long serialVersionUID = 1L;
	// セッション情報
	private Map<String, Object> session;

	private HttpServletRequest request;

	// ユーザー情報
	private UserInfoBean userInfo = null;

	private String sessionId = null;

	@Override
	public String execute() throws Exception {
		log.info("メニュー開始");

		userInfo = (UserInfoBean) session.get(Const.USER_INFO);
		if (userInfo == null) {
			log.info("userInfo is null");
		} else {
			log.info("ユーザーコード1: " + userInfo.getCode());
			log.info("ユーザー名1: " + userInfo.getName());
		}

		final HttpSession session = request.getSession();
		sessionId = session.getId();
		log.info("セッションID: " + sessionId);
		userInfo = (UserInfoBean) session.getAttribute(Const.USER_INFO);
		if (userInfo == null) {
			log.info("userInfo is null");
		} else {
			log.info("ユーザーコード2: " + userInfo.getCode());
			log.info("ユーザー名2: " + userInfo.getName());
		}

		return SUCCESS;
	}

	@Override
	public void setSession(Map<String, Object> session) {
		this.session = session;
	}

	@Override
	public void setServletRequest(HttpServletRequest request) {
		this.request = request;
	}

	public UserInfoBean getUserInfo() {
		return userInfo;
	}

	public void setUserInfo(UserInfoBean userInfo) {
		this.userInfo = userInfo;
	}

	public String getSessionId() {
		return sessionId;
	}

}

Answer 1

https://qiitadon.com/@sasanquaneuf/104250357174781955

一般論としてありえるかなーと思うのは、

• set-cookieで返却されていない（ブラウザで確認する）
• クッキーでsecureが指定されていて、httpでアクセスしている（ブラウザで確認する）
• ドメイン等の設定が間違っている

こちらの指摘を受けて原因が判明しました。ありがとうございます????

開発者コンソールで Set-Cookie の値を確認したところ、警告で
This Set-Cookie was blocked because it was not sent over a secure connection and would have overwritten a cookie with the Secure attribute.
と表示されていました。

GlassFish Console を HTTPS で、アプリを HTTP で表示していたせいで secure 属性のある cookie とない cookie を作ろうとしてブロックされていたようです。

応急処置的には cookie を削除することでセッションが引き継がれるようになりました。

根本的な対応としてはアプリを HTTPS 対応させるか、GlassFish Console を HTTP で接続するようにすれば解決すると思います。
（GlassFish Console は localhost 以外からは HTTPS でしか接続できないので注意が必要です）

Answer 2

はずしているかもしれませんが。

• GlassFish Server Open Source EditionApplication Deployment Guide Release 4.0 ※PDF
• 3.13.39　/glassfish-web-app/session-config/session-properties/property : Hitachi Application Server V10 定義リファレンス（Windows用）
• 3.2.1 Interstage deployment descriptor

Web Container そのものの設定か、アプリケーション側の設定で session-manager の persistence-type や Session Properties の enableCookies や enableURLRewriting の設定をしてやる必要があるかもしれません。