会话标志固定攻击（Session ID不会发成改变）

漏洞扫描出一个应用系统在用户登录成功或登录失败后并未对当前的会话标志（Session ID）进行更新，从而攻击者可构造一个未登录且带有Session ID的URL并发送到用户，用户点击该URL并进行登录成功后，攻击者可通过该Session ID冒充用户并成功进入应用系统，从而可进一步发起对应用系统的攻击的漏洞。找了一个比较笨的方法记录下：

Cookie cookie = new Cookie("JSESSIONID", "随机生成数据");
response.addCookie(cookie);