PrimeFaces/Java Web应用会话过期后页面刷新重置会话求助

1. 提前通过AJAX失效服务器端会话（推荐） #

核心思路是在客户端弹窗提示前，先让服务器端主动失效会话，这样后续刷新页面时，服务器没有有效会话，会直接跳转到登出页。

步骤： #

• 调整客户端倒计时逻辑，在弹窗触发前先发送AJAX请求让服务器失效会话
• 服务器端Bean实现会话失效方法
• 弹窗仅作提示，此时会话已无效

JS代码：

// 30分钟倒计时（单位：毫秒）
const SESSION_DURATION = 30 * 60 * 1000;

// 设置定时器，在会话到期时先失效会话再弹窗
setTimeout(() => {
    // 调用PrimeFaces远程命令失效会话
    invalidateSession();
    // 会话失效后弹出提示框
    PF('sessionTimeoutDialog').show();
}, SESSION_DURATION);

JSF页面添加远程命令：

<p:remoteCommand name="invalidateSession" actionListener="#{sessionManagerBean.invalidateSession()}" />

服务器端Bean：

@ManagedBean
@RequestScoped
public class SessionManagerBean {
    public void invalidateSession() {
        FacesContext context = FacesContext.getCurrentInstance();
        HttpSession session = (HttpSession) context.getExternalContext().getSession(false);
        if (session != null) {
            session.invalidate();
        }
    }
}

2. 客户端拦截页面刷新事件，强制跳转到登出页 #

当会话超时弹窗显示后，拦截用户的刷新操作，直接跳转到登出页面，避免页面刷新时创建新会话。

JS代码：

let isSessionTimeoutDialogOpen = false;

// 弹窗打开时标记状态
PF('sessionTimeoutDialog').cfg.onShow = function() {
    isSessionTimeoutDialogOpen = true;
};

// 弹窗关闭时清除标记
PF('sessionTimeoutDialog').cfg.onHide = function() {
    isSessionTimeoutDialogOpen = false;
};

// 监听页面刷新/关闭事件
window.addEventListener('beforeunload', function(e) {
    if (isSessionTimeoutDialogOpen) {
        // 阻止默认提示，强制跳转到登出页
        e.preventDefault();
        window.location.href = '/logout';
        e.returnValue = ''; // 兼容部分浏览器
    }
});

// OK按钮点击事件
document.querySelector('#sessionTimeoutDialog .ui-dialog-buttonpane button:first-child').addEventListener('click', function() {
    window.location.href = '/logout';
});

3. 服务器端Filter拦截过期会话请求 #

通过Filter全局拦截所有请求，检查会话是否已过期，若过期则直接跳转到登出页，彻底避免刷新页面重置会话。

Filter代码：

@WebFilter(filterName = "SessionTimeoutFilter", urlPatterns = "/*")
public class SessionTimeoutFilter implements Filter {
    // 会话超时时间（30分钟，单位：毫秒）
    private static final long TIMEOUT = 30 * 60 * 1000;

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;

        HttpSession session = req.getSession(false);
        String requestURI = req.getRequestURI();

        // 排除登出、登录等无需会话的页面
        if (!requestURI.equals("/logout") && !requestURI.equals("/login.xhtml")) {
            if (session != null) {
                long elapsedTime = System.currentTimeMillis() - session.getLastAccessedTime();
                if (elapsedTime > TIMEOUT) {
                    session.invalidate();
                    res.sendRedirect("/logout");
                    return;
                }
            } else {
                // 无有效会话，跳转到登录页
                res.sendRedirect("/login.xhtml");
                return;
            }
        }

        chain.doFilter(request, response);
    }
}

为什么之前的方案没生效？ #

• 删除JSESSIONID Cookie失败：因为JSESSIONID默认是HttpOnly的，JS无法读取或修改这类Cookie，必须由服务器端操作。
• p:ajax open事件监听失效：当弹窗触发时，服务器端会话可能已经过期，此时AJAX请求会创建新会话，你调用的session.invalidate()其实是在新会话上执行，对原过期会话无效。

内容的提问来源于stack exchange，提问作者mtmx