单登录用户为何存在多个HttpSession实例？Tomcat/Jetty均出现该问题

本地HeapDump快照显示，Tomcat对HttpSession的实现类StandardSessionFacade，在仅登录一个用户的情况下存在5个实例；切换为Jetty服务器后，HeapDump仍出现类似的多Session实例现象。这种情况大多属于Web容器的通用正常行为，而非潜在问题，具体原因如下：

• 容器内部临时Session：Tomcat、Jetty这类Web容器会为内部操作创建临时Session，比如静态资源请求、容器健康检查请求，或是未登录用户的默认请求（容器会自动创建Session用于会话跟踪），这些Session不会立即被销毁，会在堆中留存一段时间。
• Session回收机制延迟：Session的销毁依赖容器的超时回收机制（默认超时时间通常为30分钟），即使用户请求结束或退出登录，只要未达到超时时间，Session实例就会保留在堆中；同时GC的触发时机不确定，未被回收的旧Session也会积累。
• 框架/组件隐式创建：如果应用使用了Spring Security、Shiro等安全框架，或是某些第三方组件，可能会在初始化、权限校验等流程中隐式创建Session，这类Session不一定与用户登录状态绑定。
• 测试环境的额外请求：本地测试时，浏览器Cookie保留、多次刷新页面、调试工具的请求等，都会触发容器创建新Session实例，即使仅登录一个用户，也会产生多个Session。

验证方法 #

• 分析Session细节：用内存分析工具（如MAT）查看每个Session的creationTime、lastAccessedTime及绑定属性，区分有效用户Session和临时/过期Session。
• 开启Session日志：在容器中开启Session创建的调试日志，跟踪每个Session的触发请求来源，明确实例创建原因。
• 调整超时时间：临时缩短Session超时时间（如1分钟），等待GC触发后查看堆中Session数量是否减少，验证是否为回收机制导致。

内容的提问来源于stack exchange，提问作者Harshit Goyal