当web.xml中tracking-mode设为COOKIE时，部分请求未携带JSESSIONID，是因为浏览器禁用Cookie、跨域、iframe嵌入或SameSite策略限制；Tomcat不会自动fallback到URL重写，需显式调用encodeURL()；纯URL模式不被支持，必须与COOKIE并存；前后端分离项目中URL重写基本无效，应使用Cookie+CORS或Token方案；Tomcat 10需使用Jakarta命名空间，否则tracking-mode配置静默失效。
web.xml 里 tracking-mode 设为 COOKIE 时，为什么有些请求没带 JSESSIONID？
因为浏览器禁用了 Cookie，或者当前请求是跨域、iframe 嵌入、或启用了严格第三方 Cookie 策略（比如 Chrome 的 SameSite=Lax 默认行为），导致 JSESSIONID Cookie 没被发送。Tomcat 不会自动 fallback 到 URL 重写——它只按你声明的 tracking-mode 工作。
实操建议：
-
tracking-mode设为COOKIE后，不会在 URL 后追加;jsessionid=xxx，哪怕客户端没发 Cookie - 若需兜底，必须显式启用 URL 重写：在 Servlet 中调用
response.encodeURL()或response.encodeRedirectURL() - 检查浏览器 DevTools → Application → Cookies，确认
JSESSIONID是否存在、Domain/Path 是否匹配、是否被标记为HttpOnly或Secure（后者要求 HTTPS）
把 tracking-mode 改成 URL 就能强制 URL 重写？
不能。Tomcat 7+ 的 tracking-mode 不支持单独设为 URL；它只接受 COOKIE、URL、SSL 三者组合，且 URL 必须和 COOKIE 并存，例如：
<session-config> <tracking-mode>COOKIE</tracking-mode> <tracking-mode>URL</tracking-mode> </session-config>否则部署会失败（报错
Invalid tracking-mode: URL）。
原因在于：纯 URL 追踪不安全、易泄露 Session ID，Tomcat 强制要求至少一种更可靠的模式（如 Cookie）作为主通道，URL 仅作降级补充。
常见错误现象：
- 只写一个
<tracking-mode>URL</tracking-mode>→ 应用启动失败，日志报org.xml.sax.SAXParseException - 写了两个
tracking-mode，但没配COOKIE→ 实际仍不生效，URL 重写不会自动触发 - 即使配置了
COOKIE和URL，Servlet 代码里没调encodeURL()，链接仍是干净的，不会带jsessionid
Session URL 重写对前后端分离项目有没有用？
基本没用。现代前端（React/Vue）通过 fetch 或 axios 发请求，默认不解析、不携带 URL 中的 jsessionid 参数，服务端也默认不从 URL 提取 Session ID（除非显式调用 HttpServletRequest#getRequestedSessionId() 并验证）。
更关键的是：Spring Boot 2.6+、Tomcat 10+ 默认禁用 URL 重写提取 Session，即使你配了 URL tracking-mode，request.getSession() 也不会从 URL 解析 ID。
所以真实场景中：
- 前后端分离项目应统一走 Cookie + CORS 配置（
withCredentials: true），并确保后端返回Set-Cookie的 Domain/Path 正确 - 如果必须无 Cookie（比如某些嵌入式终端），改用 Token（JWT）或自定义 Header 传 Session ID，别依赖 URL 重写
- URL 追踪真正适用的场景只剩传统 JSP/Servlet 全栈页面跳转，且用户可能禁用 Cookie
Tomcat 9 和 Tomcat 10 在 tracking-mode 行为上有啥区别？
核心逻辑一致，但 Tomcat 10 因迁移到 Jakarta EE 9，所有包名和部分配置语义变了。如果你用的是 Tomcat 10+，web.xml 必须用 Jakarta 命名空间，否则 tracking-mode 根本不被识别——看起来像配置失效。
典型错误：
- Tomcat 10 的
web.xml还沿用http://java.sun.com/xml/ns/javaee→tracking-mode被忽略，回退到默认 Cookie 模式，且无任何警告 - 正确命名空间应为：
https://jakarta.ee/xml/ns/jakartaee，且 version 至少为9.1 - Tomcat 9 下有效的配置，在 Tomcat 10 上不报错但静默失效，排查时容易误判为应用逻辑问题
复杂点就在这儿：不是行为变了，而是配置根本没加载。别急着查 Session 超时或 Cookie 设置，先看 web.xml 的 namespace 对不对。
