Vaadin会话与HTTP会话超时分离配置及持久化问询

1. 独立设置两者超时时间是可行的 #

默认情况下VaadinSession的生命周期绑定到HTTP会话，但可以通过代码和配置实现分离：

• 先在Spring Boot配置中设置HTTP会话超时：server.servlet.session.timeout=7d
• 然后在SessionInitListener中手动指定VaadinSession的超时时间：

@Override
public void sessionInit(SessionInitEvent event) {
    VaadinSession vaadinSession = event.getSession();
    // 将Vaadin会话超时设为30分钟（单位：秒）
    vaadinSession.getSession().setMaxInactiveInterval(30 * 60);
}

需要注意Vaadin的心跳机制：默认心跳请求会刷新HTTP会话的超时时间，可能导致HTTP会话无法按7天设置过期。可以通过调整vaadin.heartbeat.interval（比如设为0禁用心跳，但会影响UI实时性），或者自定义拦截器让心跳请求不触发HTTP会话超时刷新。

2. 仅持久化HTTP会话数据的实现方式 #

这个需求可以实现，关键是排除VaadinSession相关数据：

• 配置Spring Session（比如Redis/JDBC持久化）时，默认会持久化整个HTTP会话的属性。VaadinSession存储在HTTP会话的com.vaadin.flow.server.VaadinSession属性中，只需在Spring Session配置中忽略该属性即可：
  • 若用JDBC持久化，添加配置：spring.session.jdbc.filter.invalid-attributes-pattern=com\\.vaadin\\.flow\\.server\\.VaadinSession
  • 若用Redis，可自定义RedisSerializer，在序列化时跳过该属性。

3. 整体方案完全可行 #

你的思路没问题，核心注意事项：

• Vaadin会话超时后，HTTP会话需保留OAuth令牌等核心数据，确保用户无需重新登录。
• 利用SessionInitListener在Vaadin会话重建时，从HTTP会话读取OAuth令牌，结合数据库数据重新初始化Vaadin会话，完全可以替代持久化的Vaadin数据。
• 务必测试心跳机制对HTTP会话超时的影响，避免出现HTTP会话提前过期或无法按时过期的情况。

内容的提问来源于stack exchange，提问作者alexanoid