Spring Session编程式过期致REST API用户收异常响应的方案咨询

根因定位 #

当前会话过期响应是由Spring Security的ConcurrentSessionFilter在Servlet Filter链阶段直接生成、提交并返回的，请求全程不会流转到后续Spring MVC的DispatcherServlet调度链路，因此注册在MVC层的HandlerInterceptor完全没有机会被触发。
你观察到的“200状态码、无Content-Type、纯文本过期提示”，是ConcurrentSessionFilter默认适配传统Web页面跳转的内置逻辑，本身并非为REST接口场景设计的规范响应。

可落地的实现路径 #

• 直接替换ConcurrentSessionFilter的默认过期处理逻辑
  ConcurrentSessionFilter内置了会话过期处理的扩展点，完全可以在Filter层完成REST规范响应的定制，无需依赖MVC层组件：
  1. 定位项目中Spring Security过滤链的配置类，找到注册ConcurrentSessionFilter的代码块
  2. 通过构造参数传入自定义的SessionInformationExpiredStrategy，替代默认的响应生成逻辑，示例代码：

     // 自定义会话过期响应策略
     SessionInformationExpiredStrategy expiredStrategy = (request, response, exception) -> {
         // 设置符合REST规范的401未授权状态码
         response.setStatus(HttpStatus.UNAUTHORIZED.value());
         // 明确指定响应格式为JSON
         response.setContentType(MediaType.APPLICATION_JSON_VALUE);
         // 输出带INVALID_SESSION标识的结构化响应体
         response.getWriter().write("{\"errorCode\":\"INVALID_SESSION\",\"message\":\"当前会话已被强制过期，请重新登录\"}");
     };
     // 注册自定义策略后的ConcurrentSessionFilter
     ConcurrentSessionFilter sessionFilter = new ConcurrentSessionFilter(sessionRegistry, expiredStrategy);
     

• 可选补充：如果项目中同时存在页面跳转和REST接口的会话过期场景，可以在自定义策略中根据请求头、URL路径判断请求类型，分别返回跳转页或者结构化JSON响应。

关于HttpSessionListener的适用性 #

HttpSessionListener仅提供HttpSession创建、销毁事件的回调能力，本身无法关联触发会话过期的HTTP请求上下文，也没有权限修改已经生成的HTTP响应内容，无法满足本场景下自定义响应格式、状态码的需求，对当前问题没有直接帮助。

内容的提问来源于stack exchange，提问作者Jayram Kumar