验证每个请求的JSESSIONID

Question

我在Web应用程序中使用Spring Security。

我收到了一个漏洞检查报告，指出在“ Cookie”标题中使用错误的JSESSIONID总是会重定向到登录页面。 但是，它应该重定向到错误页面。

我尝试使用<session-management invalid-session-url="/denied.xhtml" />解决此问题，但对我而言不起作用。

当JSESSIONID错误或由外部方随机生成时，如何强制重定向到错误页面？

任何建议，将不胜感激。