问如何在Tomcat中配置应用程序会话的最大持续时间？
EN

Stack Overflow用户

提问于 2019-01-10 00:41:12

回答 3查看 2.1K关注 0票数 3

我需要在Tomcat中将应用程序会话的最长时间配置为24小时。

我无法在文档中找到适当的配置：

https://tomcat.apache.org/tomcat-8.5-doc/config/http.html

( sessionTimeout for SSLHostConfig，但我需要Connector配置；我们在Tomcat之前终止WebServer中的SSL连接，但是由Tomcat处理会话管理。)

添加了

我们已经处理了会话过期超时(Tomcat会话超时web.xml)。

最大持续时间超时意味着即使用户在所有时间内都处于活动状态，其应用程序会话在最长超时之后也将失效。

tomcat

session-management

tomcat8.5

回答 3

Stack Overflow用户

回答已采纳

发布于 2019-01-15 05:05:31

HttpSessionListener只会通知会话的创建和销毁，但不会在每个页面请求中调用。

我会实现一个过滤器来检查会话创建时间，并使会话加设置头或重定向无效。

在web.xml中添加：

<filter>
    <filter-name>Max Session Duration</filter-name>
    <filter-class>com.your.package.MaxSessionDurationFilter</filter-class>
    <init-param>
        <!-- Maximum session duration in hours -->
        <param-name>maxduration</param-name>
        <param-value>24</param-value>
    </init-param>
</filter>

以及像这样的地图

<filter-mapping>
  <filter-name>Max Session Duration</filter-name>
  <url-pattern>*.jsp</url-pattern>
</filter-mapping>

然后过滤器实现如下：

package com.your.package;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class MaxSessionDurationFilter implements Filter {

    private final long oneHourMillis = 1000*60*60;

    private long maxDuration;

    private FilterConfig filterConfig;

    @Override
    public void init(FilterConfig fc) throws ServletException {
        filterConfig = fc;
        maxDuration = Long.parseLong(filterConfig.getInitParameter("maxduration"));
    }

    @Override
    public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain)
        throws IOException, ServletException {
        HttpServletRequest httpReq = (HttpServletRequest) req;
        HttpServletResponse httpResp = (HttpServletResponse) resp;
        final long creationTime = httpReq.getSession().getCreationTime();
        final long currentTime = System.currentTimeMillis();
        if (currentTime-creationTime > maxDuration*oneHourMillis) {
            httpReq.getSession().invalidate();
            // Could also set headers to 403 forbidden
            // httpResp.setStatus(HttpServletResponse.SC_FORBIDDEN);
            httpResp.sendRedirect("expiredsession.jsp");
        } else {
            chain.doFilter(req, resp);
        }
    }

    @Override
    public void destroy() { }

}

票数 4

Stack Overflow用户

发布于 2019-01-12 22:53:41

实现HttpSessionListener并在24小时后销毁会话是可能的：

https://tomcat.apache.org/tomcat-8.5-doc/servletapi/javax/servlet/http/HttpSessionListener.html

问题是是否存在更好的方法。

票数 0

Stack Overflow用户

发布于 2019-01-12 23:36:27

可以使用setMaxInactiveInterval配置最大持续时间会话。

指定servlet容器将使此会话无效之前客户端请求之间的时间(以秒为单位)。

使用HttpSessionListener重写sessionCreated方法，在创建会话时更新：

public class MyHttpSessionListener implements HttpSessionListener{
  public void sessionCreated(HttpSessionEvent event){
    event.getSession().setMaxInactiveInterval(24*60*60); //24 Hours
  }