JAX-RS如何实现同一浏览器多标签页获取独立Session对象

默认HttpSession的会话绑定逻辑依赖浏览器Cookie中存储的JSESSIONID做身份标识，同个浏览器下所有标签页共享同一份Cookie存储空间，无论打开多少新标签，发起请求时携带的JSESSIONID完全一致，服务端会自动映射到同一个Session对象，天然无法支持同浏览器多标签独立登录的需求。

整体思路是放弃默认基于JSESSIONID的会话机制，改用自定义标签级隔离的会话传递逻辑，不需要依赖容器提供的HttpSession能力：

• 自定义全局唯一会话标识：登录成功后服务端生成独立的会话Token（比如UUID即可），禁止将Token存在Cookie或localStorage中——这两种存储都是同浏览器跨标签共享的，会回到会话共用的问题；Token返回给前端后，由前端存入当前标签页的sessionStorage，该存储是标签页级隔离的，同浏览器不同标签的sessionStorage完全独立、数据不互通，刚好匹配多标签独立登录的需求。
• 自定义服务端会话存储：用线程安全的容器维护会话映射，单机场景可以直接用ConcurrentHashMap<String, 自定义会话对象>存储，Key为生成的会话Token，Value存储当前会话的userId、登录时间、过期时间等业务需要的信息；如果是分布式部署，将存储替换为Redis等集中式缓存即可，逻辑无需改动。
• 统一登录态校验：通过JAX-RS的请求过滤器拦截所有需要鉴权的接口，要求前端在自定义请求头（比如X-Auth-Token）中携带当前标签页存储的Token，过滤器拿到Token后从自定义存储中查询对应会话，校验通过则把会话信息写入请求上下文供后续业务接口使用，校验失败直接返回401未授权。
• 业务逻辑适配：原有从HttpSession中取登录用户信息的逻辑，统一改为从请求上下文中读取即可，不需要额外改动业务流程。

代码示例 #

首先定义自定义会话实体：

public class UserLoginSession {
    private String userId;
    private Long loginTimestamp;
    private Long expireTimestamp;

    public UserLoginSession(String userId, Long loginTimestamp, Long expireTimestamp) {
        this.userId = userId;
        this.loginTimestamp = loginTimestamp;
        this.expireTimestamp = expireTimestamp;
    }

    // 自行补充getter/setter
}

实现会话存储工具类：

import java.util.UUID;
import java.util.concurrent.ConcurrentHashMap;

public class CustomSessionStore {
    // 单机场景用本地Map，分布式部署替换为Redis操作即可
    private static final ConcurrentHashMap<String, UserLoginSession> SESSION_CONTAINER = new ConcurrentHashMap<>();
    // 会话默认30分钟过期
    private static final long SESSION_EXPIRE_MS = 30 * 60 * 1000;

    // 创建新会话返回Token
    public static String generateSession(String userId) {
        String token = UUID.randomUUID().toString().replace("-", "");
        long currentTime = System.currentTimeMillis();
        SESSION_CONTAINER.put(token, new UserLoginSession(userId, currentTime, currentTime + SESSION_EXPIRE_MS));
        return token;
    }

    // 根据Token查询有效会话
    public static UserLoginSession getValidSession(String token) {
        if (token == null || token.isBlank()) {
            return null;
        }
        UserLoginSession session = SESSION_CONTAINER.get(token);
        if (session == null) {
            return null;
        }
        // 会话过期自动清理
        if (System.currentTimeMillis() > session.getExpireTimestamp()) {
            SESSION_CONTAINER.remove(token);
            return null;
        }
        return session;
    }

    // 退出登录时删除会话
    public static void removeSession(String token) {
        SESSION_CONTAINER.remove(token);
    }
}

改造原登录接口：

import javax.ws.rs.POST;
import javax.ws.rs.Path;
import javax.ws.rs.core.Response;
import java.util.Collections;

@Path("/")
public class LoginService {

    @POST
    @Path("/proclogin")
    public Response processLogin(String userid) {
        // 此处自行补充账号密码校验逻辑
        String authToken = CustomSessionStore.generateSession(userid);
        // 将Token返回给前端
        return Response.ok(Collections.singletonMap("token", authToken)).build();
    }
}

实现全局鉴权过滤器：

import javax.ws.rs.Priorities;
import javax.ws.rs.container.ContainerRequestContext;
import javax.ws.rs.container.ContainerRequestFilter;
import javax.ws.rs.core.Response;
import javax.ws.rs.ext.Provider;
import java.io.IOException;

@Provider
@javax.annotation.Priority(Priorities.AUTHENTICATION)
public class AuthCheckFilter implements ContainerRequestFilter {
    @Override
    public void filter(ContainerRequestContext requestContext) throws IOException {
        // 登录接口直接放行
        if (requestContext.getUriInfo().getPath().endsWith("/proclogin")) {
            return;
        }
        // 从请求头获取前端携带的Token
        String token = requestContext.getHeaderString("X-Auth-Token");
        UserLoginSession currentSession = CustomSessionStore.getValidSession(token);
        if (currentSession == null) {
            requestContext.abortWith(Response.status(Response.Status.UNAUTHORIZED).build());
            return;
        }
        // 将会话信息存入请求上下文，后续业务接口可直接获取
        requestContext.setProperty("currentLoginSession", currentSession);
    }
}

前端配套逻辑：登录接口拿到返回的Token后，执行sessionStorage.setItem('authToken', 返回的token值)，后续所有请求都从sessionStorage读取该Token，放到X-Auth-Token请求头中即可。

补充说明 #

• 可以增加定时任务定期遍历清理过期会话，避免无效会话占用内存
• 需要做会话续期的话，只要在过滤器校验通过后，更新对应会话的过期时间即可
• 同浏览器下哪怕打开多个标签页登录不同账号，每个标签的sessionStorage存储的Token都是独立的，请求时携带不同Token，服务端会识别为不同的独立会话，完全不会互相干扰

内容的提问来源于stack exchange，提问作者ps0604