如何修复ADF应用中Apache Shiro登出时的Unknown Session Exception

这个问题我在ADF集成Shiro的项目里踩过一模一样的坑！核心问题就是你登出操作的顺序搞反了，这直接导致了Shiro找不到会话而抛出异常。

为什么会出现这个错误？ #

你当前的代码先调用了externalContext.invalidateSession()，这会让Web容器（GlassFish）直接销毁当前的HttpSession。之后再执行SecurityUtils.getSubject().logout()时，Shiro需要去操作和当前Subject绑定的会话，但这个会话已经被容器销毁了，自然就抛出了org.apache.shiro.session.UnknownSessionException。

修正后的登出代码 #

把操作顺序调换过来，先让Shiro处理登出逻辑（它会自动管理会话的销毁），再去销毁Web容器的会话（ADF场景下保险起见可以加上），同时建议手动重定向到登录页，避免JSF导航的潜在问题：

public String logout() throws IOException { 
    try { 
        // 第一步：让Shiro处理登出，它会自动终止关联的会话
        SecurityUtils.getSubject().logout(); 
        
        // 第二步：销毁Web容器的HttpSession（ADF场景下补充操作，增强兼容性）
        ExternalContext externalContext = FacesContext.getCurrentInstance().getExternalContext(); 
        externalContext.invalidateSession(); 
        
        // 手动重定向到登录页，确保页面跳转生效
        String loginUrl = externalContext.getRequestContextPath() + "/login.jsf";
        externalContext.redirect(loginUrl);
        
        // 通知JSF生命周期结束，避免后续不必要的处理
        FacesContext.getCurrentInstance().responseComplete(); 
    } catch (Exception e) { 
        FacesMessage msg = new FacesMessage(FacesMessage.SEVERITY_ERROR, "登出失败", e.getMessage()); 
        FacesContext.getCurrentInstance().addMessage(null, msg); 
        // 这里建议替换成项目的日志框架，比如SLF4J，不要用printStackTrace
        // logger.error("登出过程发生异常", e);
    } 
    return null; // 因为已经手动重定向，返回null即可
}

额外需要检查的点 #

• Shiro配置验证：确保你的Shiro配置中，SecurityManager使用了DefaultWebSessionManager（或适合Web场景的会话管理器），并且会话的存储、销毁逻辑配置正确，比如没有禁用会话管理。
• ADF导航规则：如果不想手动重定向，要在faces-config.xml中配置好从当前页面到登录页的导航规则，返回对应的结果字符串（比如"logout"），而不是空字符串，否则可能导致页面不跳转。
• 避免重复操作：其实Shiro的logout()方法默认会调用session.stop()销毁会话，所以有些场景下externalContext.invalidateSession()可以省略，但在ADF这种有自身会话机制的框架中，两者都调用能避免潜在的会话残留问题，关键是顺序不能错。

内容的提问来源于stack exchange，提问作者Usha