为每个请求验证JSESSIONID

Question

我在我的网络应用程序中使用Spring Security。

我收到了一个漏洞检查报告，指出在“Cookie”标头中使用错误的JSESSIONID将始终重定向到登录页面。但是，它应该重定向到错误页面。

我尝试使用<session-management invalid-session-url="/denied.xhtml" />来解决此问题，但它对我不起作用。

当JSESSIONID错误或由外部方随机生成时，如何强制重定向到错误页面？

任何建议都将不胜感激。