Spring Boot使用WebSecurityConfigurerAdapter时的Session无效间歇性异常

1. 排查集群Session一致性问题 #

生产环境多为集群部署，而开发/UAT通常是单节点，这是间歇性问题的常见诱因：

• 若使用本地内存Session，请求路由到无对应Session的节点时会直接报错
• 修复：统一使用分布式Session存储（如Redis），配置Undertow的session-manager为分布式实现，确保所有节点共享Session数据
• 验证：模拟跨节点请求，确认Session能在集群间正常同步

2. 修正令牌传递与Session绑定逻辑 #

服务端调用和浏览器访问的令牌传递方式存在差异：

• 浏览器自动携带Cookie传递Session ID，但服务调用可能通过Header传递令牌，若认证逻辑仅从Cookie读取Session ID，会导致无法关联有效Session
• 修复：修改认证过滤器，同时支持从Cookie和自定义Header（如X-Session-Id）读取Session ID，示例代码：

  // 认证过滤器中扩展Session ID读取逻辑
  String sessionId = request.getCookieValue("JSESSIONID");
  if (sessionId == null) {
      sessionId = request.getHeader("X-Session-Id");
  }
  if (sessionId != null) {
      Session session = sessionManager.getSession(sessionId);
      // 后续认证逻辑
  }
  

• 同步要求服务调用方按约定传递Session ID到指定Header

3. 调整Session超时与过期策略 #

生产环境大流量下Session可能被提前回收：

• 检查web.xml中<session-config>的<session-timeout>配置，或代码中sessionManager.setDefaultSessionTimeout()的设置，确认生产环境是否超时时间过短
• 修复：将Session超时调整为合理值，同时保证分布式存储的Session过期策略（如Redis Key过期时间）与Undertow配置一致

4. 确保Session操作的线程安全性 #

高并发场景下，非线程安全的Session操作会导致数据损坏或Session失效：

• 检查代码中是否存在异步线程修改Session属性的情况
• 修复：限制Session操作仅在请求线程中进行；若需异步处理，使用Undertow的SessionListener或同步机制保证一致性

5. 升级Undertow版本修复已知Bug #

Undertow 2.2.9.FINAL存在Session相关的已知集群同步、请求场景丢失等Bug：

• 修复：升级到2.2.20.FINAL及以上稳定版本，参考官方Release Notes确认Session相关修复内容
• 验证：在测试环境升级后模拟生产流量，确认问题是否复现

6. 检查负载均衡器路由配置 #

负载均衡器的会话粘滞或请求转发配置错误会导致Session丢失：

• 若使用本地Session，确保负载均衡器开启会话粘滞，将请求固定到存在对应Session的节点；若使用分布式Session，可关闭会话粘滞
• 修复：确认负载均衡器转发请求时保留所有Session相关的Cookie/Header

内容的提问来源于stack exchange，提问作者Vishal Gupta