JHipster OAuth2应用的用户会话工作机制及闲置超时异常如何解决？

• JHipster生成的Spring Boot后端默认启用Servlet容器的内置会话管理，你没有在安全配置代码里找到相关逻辑是因为这部分属于Spring Security与内嵌Web容器（Tomcat/Undertow）的默认实现，无需显式编码即可生效。
• 用户完成OAuth2登录后，Spring Security会生成JSESSIONID，通过响应头Set-Cookie自动写入浏览器，完全由浏览器自动管理，不需要前端主动调用Cookie存储接口，所以你在Vue代码里搜不到this.$cookie.set(是正常现象。
• 服务端会在会话存储区（默认是内存，集群部署可配置为Redis等分布式存储）保存JSESSIONID对应的用户认证上下文，默认会话超时时间由配置项server.servlet.session.timeout控制，默认值为30分钟。超时后服务端会自动销毁对应会话，后续请求携带的JSESSIONID无法匹配到有效会话，就会被判定为未认证状态，导致数据请求失败。

你遇到的只有刷新页面才会处理InsufficientAuthenticationException的问题，本质是Spring Security默认的异常处理逻辑对同步请求和异步请求的处理逻辑不一致：刷新页面属于同步请求，会走全局异常处理流程；普通异步REST请求的未认证异常默认不会触发ExceptionHandlerExceptionResolver，只会直接返回401状态码，前端未做对应处理就会出现异常表现。
按以下步骤修改即可解决：

1. 新增自定义认证入口点，统一处理所有未认证请求的返回逻辑：

@Component
public class CustomAuthEntryPoint implements AuthenticationEntryPoint {
    @Autowired
    private ObjectMapper objectMapper;

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException e) throws IOException {
        response.setContentType("application/json;charset=UTF-8");
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        objectMapper.writeValue(response.getOutputStream(), Collections.singletonMap("msg", "会话已过期，请重新登录"));
    }
}

2. 在Spring Security配置类中注册该入口点：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private CustomAuthEntryPoint customAuthEntryPoint;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 保留原有其他安全配置
            .exceptionHandling()
            .authenticationEntryPoint(customAuthEntryPoint);
    }
}

3. 前端新增全局请求库拦截器，统一拦截401状态码，收到后直接跳转到登录页，避免后续无效请求。
4. 可选优化：新增心跳接口，前端定期请求校验会话有效性，会话即将过期时提前提醒用户，避免操作中途失效。

内容的提问来源于stack exchange，提问作者Rainbow