Servlet 3.0 API不允许您更改现有会话上的会话ID。通常，为了防止会话固定，您将只想创建一个新的并使旧的无效。
您可以像这样使会话无效
request.getSession(false).invalidate();
然后创建一个新的会话
getSession(true)（也
getSession()应该工作）
显然，如果会话中有要保留的数据，则需要将其从第一个会话复制到第二个会话。
请注意，对于会话固定保护，通常认为只对身份验证请求执行此操作即可。但是更高级别的安全性涉及为每个请求都抛弃旧会话并进行新会话。
