Django session timeout二次打开链接仍显示超时页问题求助

核心原因 #

会话超时后，客户端仍保留着过期的sessionid Cookie，再次访问时浏览器会自动携带该Cookie，服务器识别到无效会话后依然触发超时跳转；仅调用request.session.flush()只会清除服务器端会话数据，无法删除客户端的Cookie，这是问题的关键。

永久解决步骤 #

1. 自定义超时处理视图，主动清除客户端Cookie

不要直接跳转到静态超时页面，改用自定义视图在返回超时页面的同时删除客户端的sessionid Cookie：

# views.py
from django.shortcuts import render

def session_timeout_view(request):
    # 清除服务器端会话数据
    request.session.flush()
    # 生成超时页面响应
    response = render(request, 'session_timeout.html')
    # 强制删除客户端的sessionid Cookie（匹配Cookie的path和domain）
    response.delete_cookie(
        'sessionid',
        path='/',  # 对应settings里的SESSION_COOKIE_PATH，默认是'/'
        domain=None  # 如果设置了SESSION_COOKIE_DOMAIN，要填对应值
    )
    return response

在urls.py中配置路由：

urlpatterns = [
    # ...其他路由
    path('session-timeout/', views.session_timeout_view, name='session_timeout'),
]

修改settings.py中的重定向配置：

SESSION_TIMEOUT_REDIRECT = 'session_timeout'  # 对应路由名称

2. 检查中间件顺序是否正确

确保SessionTimeoutMiddleware的位置在SessionMiddleware之后、AuthenticationMiddleware之前，否则会导致会话逻辑异常：

# settings.py
MIDDLEWARE = [
    # ...其他中间件
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django_session_timeout.middleware.SessionTimeoutMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    # ...其他中间件
]

3. 对齐会话相关配置参数

确保SESSION_TIMEOUT和SESSION_COOKIE_AGE的逻辑匹配，避免会话生命周期冲突：

# settings.py
SESSION_TIMEOUT = 900  # 15分钟无活动超时
SESSION_COOKIE_AGE = 86400  # 会话最大有效期1天（需大于等于SESSION_TIMEOUT）
SESSION_COOKIE_HTTPONLY = True  # 增强Cookie安全性，防止前端篡改
SESSION_COOKIE_SAMESITE = 'Lax'  # 减少跨站Cookie问题

4. 验证超时触发逻辑

测试时可以临时将SESSION_TIMEOUT设为10秒，快速验证：

• 等待超时后访问任意页面，确认跳转到超时页面
• 关闭浏览器或手动清空Cookie后再次访问，确认能正常进入系统
• 直接刷新超时页面，确认不会重复显示超时内容

内容的提问来源于stack exchange，提问作者Tejas nayak