如果您将 Paros 放在浏览器和 WebSphere 中托管的 Web 应用程序之间的流量上，您将有两个会话标识符作为 HTTP 请求的 cookie 部分的一部分传递：
一个 JSESSIONID。据我所知，这是您的 HTTPSession ID。LTPA2 令牌。就 websphere 而言，这是您的“单点登录”会话。
现在，IBM 表示，当用户退出时，单个托管应用程序不能使 LTPA2 令牌无效。这背后的想法是它是一个 SSO 标识符，因此单个应用程序不应使其无效，因为它旨在跨多个应用程序使用。WAS 中没有配置声明“此环境仅托管一个应用程序，因此该应用程序可以使 LTPA2 令牌无效”。
令人担忧的是，这些 LTPA2 会话会停留一段可配置的时间。因此，如果另一个用户获得了用户的 LTPA2 令牌的句柄，他们可以使用它来访问该用户的会话，从而访问他们的敏感数据。
您可以通过强制通过 SSL 传输 cookie 以及为 cookie 指定 HTTP 来防止中间人攻击捕获会话值。但是，我仍然担心本地机器硬盘上的 cookie 可用。浏览器必须将它存储在某个地方，因此必须有一种方法可以访问它？
我的问题是，是否有人可以从硬盘驱动器中获得这样的 LTPA2 值？假设有人坐在图书馆里，登录他们的网上银行，做一些工作然后退出。下一个用户是否有可能以某种方式获得 LTPA2 令牌？
我尝试搜索我认为 FireFox 4 和 IE8 将存储 cookie 的目录，但无法匹配该值。我的直觉是，有可能在某些浏览器上找到这些数据？