如何在SpringMVC应用启动时失效Tomcat容器中的旧JSESSIONID

因为用kill -9强制终止进程，Tomcat没机会清理本地持久化的会话文件，导致重启后旧JSESSIONID仍能被识别。这里给你几个实用的解决办法：

1. 自定义Tomcat会话管理器，启动时删除旧会话文件 #

Tomcat默认会把会话数据存在work/Catalina/localhost/[你的应用名]/SESSIONS.ser文件中，我们可以扩展它的StandardManager，在启动前主动删除这个文件：

• 编写自定义Manager类：

public class CleanOldSessionManager extends StandardManager {
    @Override
    protected void startInternal() throws LifecycleException {
        // 定位到会话存储文件路径
        File sessionStore = new File(getContainer().getEngine().getDefaultHost().getWorkDir(), 
            getContainer().getName() + "/SESSIONS.ser");
        if (sessionStore.exists()) {
            sessionStore.delete();
        }
        super.startInternal();
    }
}

• 在项目META-INF/context.xml中配置这个自定义Manager：

<Context>
    <Manager className="com.your.package.CleanOldSessionManager" />
</Context>

这样每次应用启动都会清空旧的会话持久化数据，旧JSESSIONID自然失效。

2. 利用Spring事件监听，启动时清空所有会话 #

不想修改Tomcat配置的话，在SpringMVC中添加启动监听，直接操作Tomcat的会话管理器：

• 编写监听器组件：

@Component
public class StartupSessionCleaner implements ApplicationListener<ContextRefreshedEvent> {
    private static final Logger log = LoggerFactory.getLogger(StartupSessionCleaner.class);
    
    @Override
    public void onApplicationEvent(ContextRefreshedEvent event) {
        ServletContext ctx = event.getApplicationContext().getBean(ServletContext.class);
        StandardManager sessionManager = (StandardManager) ctx.getAttribute("org.apache.catalina.session.Manager");
        if (sessionManager != null) {
            try {
                sessionManager.unload(); // 卸载所有持久化的旧会话
                sessionManager.expireAll(); // 让已加载的会话全部过期
            } catch (IOException e) {
                log.error("清理旧会话失败", e);
            }
        }
    }
}

容器启动完成后，这个监听器会自动清空Tomcat中的所有旧会话，新用户只能生成新的JSESSIONID。

3. 直接禁用Tomcat的会话持久化 #

如果业务不需要会话持久化（比如重启后用户重新登录也可接受），直接修改context.xml禁用会话存储：

<Context>
    <Manager pathname="" /> <!-- 空值表示不持久化会话 -->
</Context>

这个方法最省事，但代价是正常停机也不会保存会话，需根据业务场景选择。

内容的提问来源于stack exchange，提问作者Seriously