WebSphere Liberty应用闲置后触发SESN0008E异常的原因与解决方案

• 核心诱因是LTPA认证令牌与HTTP会话的超时配置不匹配，二者存在时间空窗：当前配置中<ltpa expiration="1200" />的单位为秒，对应LTPA令牌20分钟过期；web.xml中<session-timeout>60</session-timeout>的单位为分钟，对应HTTP会话60分钟过期，两者存在40分钟的时间差。
• 配置项logoutOnHttpSessionExpire="true"的触发逻辑是仅当HTTP会话本身过期时，才会自动清理会话绑定的用户身份、执行注销动作，该逻辑不会感知LTPA令牌的过期状态。
• 当用户闲置时长超过20分钟但不足60分钟时发起操作，浏览器携带的LTPA令牌已过期，Liberty会将当前请求识别为匿名身份；但请求携带的JSESSIONID对应的HTTP会话仍未过期，会话所有权仍绑定在原登录用户localRealm/uid=testUser,ou=People,o=internet上，Liberty默认的会话安全校验机制会拒绝匿名用户访问归属已认证用户的会话，直接抛出com.ibm.websphere.servlet.session.UnauthorizedSessionRequestException: SESN0008E错误，且该错误会在这个40分钟的时间窗口内持续触发，直到HTTP会话自然过期。

• 方案1：对齐两类超时配置，从根源消除时间空窗，为最推荐方案。注意两类配置的单位差异：LTPA过期时间单位为秒，web.xml会话超时单位为分钟，根据业务需求二选一调整即可：
  • 若需要保留60分钟会话超时，将LTPA过期时间调整为不小于3600秒（即60分钟），配置为<ltpa expiration="3600" />
  • 若需要保留20分钟LTPA过期时长，将web.xml中会话超时调整为不大于20分钟，配置为<session-timeout>20</session-timeout>
• 方案2：如果业务必须保留当前的超时时间差，可以修改Liberty配置，让遇到未授权会话访问时自动作废旧会话而不是抛错。在服务配置中增加如下配置：

  <httpSession invalidateOnUnauthorizedSessionRequestException="true" />
  

  开启该配置后，当匿名用户访问归属其他用户的会话时，Liberty会直接作废旧会话、为请求新建匿名会话，只需在应用里补充匿名用户自动跳转登录页的逻辑即可，不会持续抛出异常。
• 方案3：增加全局异常拦截逻辑。针对JSF应用，可以通过自定义PhaseListener或者全局异常处理页，捕获到UnauthorizedSessionRequestException时主动清理会话上下文，重定向到登录页，避免异常直接抛给用户。
• 如果环境开启了SSO单点登录，需要确保SSO域下所有关联应用的会话超时、LTPA超时配置保持一致，避免跨应用跳转时触发同类错误。

内容的提问来源于stack exchange，提问作者pixel