Vaadin14+Tomcat9下如何阻止自动创建Session，仅登录后生成？

核心原因 #

Vaadin 14默认会在首次请求时自动创建HttpSession，用于存储UI状态等信息，这就是登录页一访问就生成Session的根源。

具体实现步骤 #

1. 禁用Vaadin自动创建Session #

根据你的部署环境选择对应配置方式：

• Spring Boot环境：在application.properties中添加参数：

  vaadin.allow.session.creation=false
  

• 纯Servlet环境：在web.xml的Vaadin Servlet配置中添加初始化参数：

  <servlet>
      <servlet-name>VaadinServlet</servlet-name>
      <servlet-class>com.vaadin.flow.server.VaadinServlet</servlet-class>
      <init-param>
          <param-name>allowSessionCreation</param-name>
          <param-value>false</param-value>
      </init-param>
  </servlet>
  

2. 改造登录页为无Session模式 #

登录页要避开Vaadin的Session触发逻辑：

• 直接用纯HTML/CSS/JS编写登录页，放到Tomcat静态资源目录（如webapp/static），不通过Vaadin Servlet处理。
• 若要保留Vaadin视图，需创建特殊视图并配合拦截器，确保首次访问时不触发Vaadin的UI状态初始化。

3. 登录成功后手动创建Session #

用户验证通过后，在登录逻辑里主动创建Session，供后续Vaadin操作使用：

// 登录验证通过后执行
HttpServletRequest request = VaadinServletRequest.getCurrent().getHttpServletRequest();
HttpSession session = request.getSession(true);
// 将认证后的用户信息存入Session
session.setAttribute("authenticatedUser", userInfo);

4. 优化Tomcat Session销毁策略（补充） #

除缩短超时时间外，可调整Tomcat清理线程参数，降低销毁Session时的CPU负载：
在conf/context.xml中配置：

<Manager pathname="" backgroundProcessorDelay="10" />

• backgroundProcessorDelay设置清理线程的执行间隔（单位：秒），避免短时间内批量销毁Session导致CPU飙升。

注意事项 #

• 确保所有未登录请求都不会触发Vaadin的UI初始化流程，否则仍会强制创建Session。
• 若使用Vaadin Push功能，需确保Push配置在Session创建完成后再启用，避免抛出异常。

内容的提问来源于stack exchange，提问作者Simon Felder