Shiro 在1.3.2以上的版本中已给出解决方案，只需添加如下配置即可：

<!-- 自定义会话管理配置 -->
<bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
    <!-- 防止登录URL中带JSESSIONID -->
    <property name="sessionIdUrlRewritingEnabled" value="false" />
    .........
</bean>

参考文章：https://www.cnblogs.com/xh_Blog/p/8029109.html