Spring Security会话超时配置本地生效但Linux服务器失效咨询

• 反向代理/探活请求刷新会话
  线上环境通常会配置nginx反向代理、健康检查探针，这类高频请求如果携带了用户的JSESSIONID、且访问的接口没有跳过会话更新逻辑，会持续刷新会话最后访问时间，导致永远不会触发超时。可以查看服务的访问日志，确认是否有高频的定期请求存在。
• 会话存储配置不匹配
  本地运行时默认使用内存存储会话，server.servlet.session.timeout可以直接生效。如果服务器上配置了Spring Session做会话共享（比如存储到Redis），该参数会被忽略，需要额外配置spring.session.timeout才会生效。另外如果是多实例部署，你当前使用的内存版SessionRegistryImpl无法跨实例同步会话状态，也会导致超时逻辑失效。
• 容器配置优先级覆盖
  你当前的Spring Security配置中sessionManagement()没有显式绑定会话策略，超时逻辑依赖Servlet容器的默认实现。如果服务器上使用的外置Tomcat等容器在web.xml中单独配置了<session-timeout>，优先级会高于Spring Boot的配置，直接覆盖你设置的1分钟超时。
• 配置未实际生效
  打包部署时可能出现配置文件未更新的问题，可以在服务启动时添加--debug参数，查看启动日志中server.servlet.session.timeout的实际加载值，确认1分钟的配置是否正确被读取。也可以直接解压部署的jar包，检查内部的配置文件是否包含对应的超时配置。
• 时区差异导致超时计算错误
  如果服务器时区和本地开发环境不一致（比如服务器用UTC时区，本地是东八区），会导致会话过期时间计算偏差，你设置的1分钟超时实际会延后8小时才触发，建议先将超时时间临时调整为30秒，观察等待3-5分钟确认是否真的完全不触发超时，还是超时时间不符合预期。

内容的提问来源于stack exchange，提问作者Marius Stusche