排查认证/注册流程时，如何在Spring Boot（内嵌Tomcat）服务端重置所有会话？

好问题！针对你用内嵌Tomcat的Spring应用，确实有几种服务端侧快速重置所有会话的方法，不用依赖curl或客户端登出操作，下面给你详细拆解：

1. 利用Spring Session内置的Actuator端点（推荐，若已用Spring Session） #

如果你的项目已经集成了Spring Session（不管是Redis、JDBC还是其他会话存储实现），Spring Boot Actuator已经内置了会话管理的端点，开箱即用：

• 第一步：在application.properties里开启并暴露会话端点：

  management.endpoints.web.exposure.include=session
  management.endpoint.session.enabled=true
  

• 第二步：触发会话失效：
  你可以通过Spring Boot Admin的UI界面直接点击操作（完全不用命令行），或者通过JMX调用该端点的方法——Actuator的所有Web端点默认都会暴露为JMX Bean，你用JConsole/VisualVM连接应用后，找到org.springframework.boot:type=Endpoint,name=SessionEndpoint，调用它的deleteAllSessions()方法即可。

2. 自定义Actuator端点（适配未用Spring Session的场景） #

如果没使用Spring Session，直接依赖Tomcat的原生HttpSession管理，你可以自定义一个Actuator端点来主动收集并销毁所有会话：

import org.springframework.boot.actuate.endpoint.annotation.DeleteOperation;
import org.springframework.boot.actuate.endpoint.annotation.Endpoint;
import org.springframework.stereotype.Component;
import javax.servlet.http.HttpSession;
import javax.servlet.http.HttpSessionEvent;
import javax.servlet.http.HttpSessionListener;
import java.util.concurrent.ConcurrentHashMap;
import java.util.concurrent.ConcurrentMap;

@Component
@Endpoint(id = "all-sessions")
public class AllSessionsEndpoint implements HttpSessionListener {

    private final ConcurrentMap<String, HttpSession> activeSessions = new ConcurrentHashMap<>();

    @Override
    public void sessionCreated(HttpSessionEvent se) {
        activeSessions.put(se.getSession().getId(), se.getSession());
    }

    @Override
    public void sessionDestroyed(HttpSessionEvent se) {
        activeSessions.remove(se.getSession().getId());
    }

    @DeleteOperation
    public void invalidateAllSessions() {
        activeSessions.values().forEach(HttpSession::invalidate);
        activeSessions.clear();
    }
}

• 配置暴露自定义端点：

  management.endpoints.web.exposure.include=all-sessions
  management.endpoint.all-sessions.enabled=true
  

之后，你同样可以通过Spring Boot Admin UI、JMX调用（对应org.springframework.boot:type=Endpoint,name=AllSessionsEndpoint的invalidateAllSessions()方法）来触发全会话失效，完全不需要curl。

3. 直接通过Tomcat的JMX MBean操作 #

内嵌Tomcat本身会暴露JMX Bean用于会话管理，无需任何代码改动：

1. 确保你的应用启动时开启了JMX（Spring Boot默认开启，若有特殊配置可检查-Dcom.sun.management.jmxremote等参数）；
2. 用JConsole或VisualVM连接到你的应用进程；
3. 找到MBean路径：Catalina:type=Manager,context=/<你的应用上下文路径>,host=localhost；
4. 调用该MBean的expireAllSessions()方法，即可立即让所有会话失效。

小提示：如果你的应用上下文是根路径（/），context参数直接填/即可，在JConsole里能直接找到对应的MBean实例。

内容的提问来源于stack exchange，提问作者gavenkoa