搞定了，我查了 Tomcat,Jetty 各自的 Request (HttpServletRequest 的实现)，都通过一个 setRequestedSessionId(String) 来设置会话 id，如是我用反射的方式来获取和调用此方法，在 getSession 之前设置 sessionId，经过在 Jetty 上实验有效，再去试试 Tomcat。这两种容器是我常用的，遇到其他容器再看了。

代码简简单单：

    try {
        request.getClass ()
             .getMethod("setRequestedSessionId", String.class)
             .invoke   (request , id);
    } catch ( NoSuchMethodException ex) {
        // Log
    } catch (IllegalAccessException |
           IllegalArgumentException |
          InvocationTargetException ex) {
        // Log
    }

呵呵！

需要注意，必须在当前请求首次调用 getSession 之前执行才行，尤其注意上层是否有 Filter 中用到 Session

2016/05/21 更新实验结果

以上方法 SessionID 是可以换掉的，但是却取不出来 Session，因取时还会对 Session 进行验证，跟踪 Jetty 的源码发现，设置 Session 对象是在初始化 Request 的时候，如下图：

此时还没进行到 Servlet 和 Filter，无从下手，因此看来重设没那么简单。

以上只对 Jetty 做了实测，结果失败。Tomcat 没实验，看源码有 changeSessionId(String) 方法，看逻辑应该是可以的。

2016/05/21 再次更新结果

经过不断的折腾，用以下代码重设 sessionId 成功:

    try {
        Object obj;
        obj = req.getClass ()
           .getMethod("getSessionManager")
           .invoke   (req);
        obj = obj.getClass ()
           .getMethod("getHttpSession" , String.class)
           .invoke   (obj, sid);
        req.getClass ()
           .getMethod("setSession", HttpSession.class)
           .invoke   (req, (HttpSession) obj);
    } catch ( NoSuchMethodException ex ) {
        // Log
    } catch (IllegalAccessException  |
           IllegalArgumentException  |
          InvocationTargetException ex ) {
        // Log
    }

在此之后执行的程序什么也不用变，可正常使用 request.getSession() 来读写 Session, 此方法针对 Jetty 写的.

2015/05/22 Tomcat 实测更新

吃完早饭无聊，跟踪了下 Tomcat 的代码，使用 Tomcat 7,8 两个版本，发现其交给用户 Servlet 的 Request 对象是一个叫 RequestFacade 的代理类，此类仅对 HttpServletRequest 接口的方法做了实现，隐藏了他的 Request 对象，因此无法调用到 org.apache.catalina.connector.Request 的 setRequestedSessionId 等方法。

看来也只能针对 Jetty 实现此 Hack 了。

结果虽然不太乐观，且没准 Jetty 在之后的版本里也会隐藏那些方法，不过这个实验过程又对这两种应用容器有了更进一步的了解。Cookie 也好，URL Path Parameter 也好，GET/POST 参数也好，只是在请求数据的不同位置携带 Session Token 而已，在客户端对连接做个简单封装也许更方便.

使用 token 的方式，把 token 放在请求头里面。要求前端在请求的时候要带上这个 token