解决在iFrame中操作时JSF会话超时问题

问题分析 #

你当前的场景是：主页面内嵌跨域iFrame，用户在iFrame内长时间操作时，主页面的JSF会话会超时并跳转到登录页。虽然使用了<p:poll>尝试保持会话，且调试显示lastAccessedTime会更新，但到达超时时间后仍会触发重定向。核心原因可能包括：

• <p:poll>的请求未正确携带会话Cookie（跨域场景下SameSite属性限制）
• 会话超时后，过滤器直接对AJAX请求返回重定向，导致页面跳转
• <p:poll>的请求间隔设置不合理（过短可能引发浏览器限制，过长则无法及时更新会话）

解决方案 #

1. 调整<p:poll>的请求间隔 #

将interval设置为小于服务器会话超时时间的数值（比如服务器会话超时为30分钟，就设为25分钟即1500秒），避免过于频繁的请求，同时确保能及时更新会话的最后访问时间：

<p:poll interval="1500" listener="#{bean.interact}" />

2. 简化后端会话保持方法 #

只需获取当前会话即可触发服务器更新lastAccessedTime，无需额外操作，简化后的代码：

public void interact() {
    // 获取现有会话，自动更新最后访问时间
    FacesContext.getCurrentInstance().getExternalContext().getSession(false);
}

3. 配置Session Cookie的跨域属性 #

由于iFrame是跨域的，需确保会话Cookie能被跨域请求携带。在服务器配置中设置Cookie的SameSite=None和Secure属性（需HTTPS环境）：

• 若使用Tomcat，修改context.xml：

<Context>
    <CookieProcessor sameSiteCookies="NONE" secure="true" />
</Context>

4. 修改登录过滤器，适配AJAX请求 #

会话超时后，过滤器对AJAX请求直接返回重定向会导致页面意外跳转，需区分处理AJAX和普通请求：

@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest req = (HttpServletRequest) request;
    HttpServletResponse res = (HttpServletResponse) response;
    HttpSession session = req.getSession(false);
    boolean isLoggedIn = (session != null && session.getAttribute("currentUser") != null);
    boolean isLoginPage = req.getRequestURI().endsWith("/login.xhtml");

    if (!isLoggedIn && !isLoginPage) {
        if ("partial/ajax".equals(req.getHeader("Faces-Request"))) {
            // AJAX请求：返回401状态码，告知前端会话超时
            res.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            res.getWriter().write("会话已超时，请重新登录");
        } else {
            // 普通请求：重定向到登录页
            res.sendRedirect(req.getContextPath() + "/login.xhtml");
        }
    } else {
        chain.doFilter(request, response);
    }
}

5. 添加前端AJAX错误处理 #

捕获AJAX请求返回的401状态，主动跳转到登录页：

<h:outputScript>
    // 全局监听PrimeFaces AJAX错误
    PrimeFaces.ajax.AjaxUtils.addOnError(function(xhr, status, error) {
        if (xhr.status === 401) {
            window.location.href = '#{request.contextPath}/login.xhtml';
        }
    });
</h:outputScript>

内容的提问来源于stack exchange，提问作者philipp8230