Spring Boot中spring.session.timeout与web.xml<session-timeout>的区别

一、web.xml <session-timeout> 与 spring.session.timeout 的关联与区别 #

• web.xml的<session-timeout>：这是Servlet规范定义的配置，单位为分钟，原本用于控制Servlet容器本地Session的超时时间。当引入Spring Session（Redis存储）后，它会作为Spring Session超时的兜底默认值，但优先级最低。
• spring.session.timeout：这是Spring Boot为Spring Session提供的专属配置项，支持带时间后缀（如1m、30s），优先级高于web.xml的配置，专门用来控制Spring Session管理的分布式会话（比如Redis存储的Session）的超时时间。

二、配置不生效的核心原因：@EnableRedisHttpSession 无参注解的影响 #

你使用无参的@EnableRedisHttpSession时，这个注解会初始化默认的RedisSessionConfiguration，此时它会优先使用自身默认的maxInactiveIntervalInSeconds参数（默认值1800秒，即30分钟），直接忽略spring.session.timeout的配置，这就是你设置1分钟超时未生效的关键。

解决方法 #

有两种方式可以让spring.session.timeout生效：

1. 移除无参的@EnableRedisHttpSession注解：Spring Boot 2.0+ 中，只要引入spring-boot-starter-data-redis和spring-session-data-redis依赖，配置好Redis连接信息后，Spring Boot会自动启用Redis Session管理，此时spring.session.timeout会被正常读取。
2. 给@EnableRedisHttpSession指定参数或绑定配置：
   • 直接在注解里设置超时时间：

     @EnableRedisHttpSession(maxInactiveIntervalInSeconds = 60) // 1分钟
     

   • 通过配置绑定让注解读取spring.session.timeout（适用于Spring Boot较新版本）：

     @EnableRedisHttpSession
     public class RedisSessionConfig {
         @Value("${spring.session.timeout}")
         private Duration sessionTimeout;
     
         @Bean
         public RedisSessionConfiguration redisSessionConfiguration() {
             RedisSessionConfiguration config = new RedisSessionConfiguration();
             config.setMaxInactiveIntervalInSeconds((int) sessionTimeout.getSeconds());
             return config;
         }
     }
     

三、配置优先级总结 #

三者的生效优先级从高到低为：

1. @EnableRedisHttpSession注解中指定的maxInactiveIntervalInSeconds参数
2. spring.session.timeout配置项
3. web.xml中的<session-timeout>配置

内容的提问来源于stack exchange，提问作者Collapser