Java中如何仅在浏览器意外关闭时保留session数据且无需每次会话打开都存储

1. 持久化JSESSIONID Cookie #

默认JSESSIONID为会话级Cookie，浏览器关闭后会自动删除，手动设置其过期时间即可让浏览器长期保存该Cookie，只要服务端Session未过期，重新打开浏览器即可复用原有Session数据。

代码示例 #

// 为JSESSIONID设置持久化过期时间
Cookie[] cookies = request.getCookies();
if (cookies != null) {
    for (Cookie cookie : cookies) {
        if ("JSESSIONID".equals(cookie.getName())) {
            // 过期时间设为7天，单位为秒
            cookie.setMaxAge(7 * 24 * 60 * 60);
            cookie.setPath("/");
            cookie.setHttpOnly(true); // 防止XSS窃取
            response.addCookie(cookie);
            break;
        }
    }
}

同时要同步调整服务端Session的过期时间，可在web.xml中配置：

<session-config>
    <!-- 过期时间单位为分钟，7天对应10080分钟 -->
    <session-timeout>10080</session-timeout>
</session-config>

也可以代码动态设置：

// 单位为秒
request.getSession().setMaxInactiveInterval(7 * 24 * 60 * 60);

2. Session持久化到外部存储 #

如果服务端重启、或内存Session被主动清理，即使Cookie未过期也无法拿到原有Session数据，此时需要将Session序列化后持久化到Redis、数据库等外部存储。
如果使用Spring Boot框架，可直接引入spring-session-data-redis启动器，无需额外业务代码即可自动实现Session全量持久化：

配置示例 #

# application.properties
spring.session.store-type=redis
spring.session.timeout=7d
spring.redis.host=127.0.0.1
spring.redis.port=6379

3. 非敏感数据存加密客户端Cookie #

对于用户偏好等非敏感数据，可加密后直接存在客户端Cookie中，无需依赖服务端Session存储，即使服务端Session过期也能直接从Cookie读取恢复。

// 加密后存储到Cookie
Cookie prefCookie = new Cookie("user_prefer", encrypt(content));
prefCookie.setMaxAge(7 * 24 * 60 * 60);
prefCookie.setHttpOnly(true);
prefCookie.setPath("/");
response.addCookie(prefCookie);

注意事项 #

• 敏感数据禁止存储在客户端Cookie，必须保存在服务端的持久化存储中
• 所有涉及身份的Cookie必须开启HttpOnly属性，防止XSS攻击窃取
• 集群部署场景下必须使用Redis等集中式Session存储，不要使用单节点内存Session

内容的提问来源于stack exchange，提问作者Hari