Java中如何在两个子域间共享登录？会话过期后如何清理DB记录？

这确实是多子域名会话管理里挺头疼的一个问题，我之前做电商平台的多子域名系统时也踩过类似的坑，给你几个经过实践验证的可靠思路：

1. 主动过期检查 + 定时清理双保险（最通用的方案） #

这是不用换存储就能快速落地的方案，核心是让过期会话“要么被用户访问时主动清理，要么被定时任务兜底清理”：

• 首先，给数据库里的session记录加一个expire_at字段，存储会话的绝对过期时间（比如会话创建时间 + 30分钟有效期）。
• 不管是a.example.com还是b.example.com，每次读取session的时候，先判断当前时间是否超过expire_at：
  • 如果已经过期，立刻删除这条数据库记录，同时清空用户Cookie里的session_id。
• 再配置一个定时任务（比如用Cron、Quartz，或者你用的框架自带的定时工具），比如每小时执行一次SQL：

  DELETE FROM session_table WHERE expire_at < NOW();
  

  这个定时任务负责清理那些用户再也没访问过的“僵尸会话”，保证数据库不会堆积过期数据。

2. 改用支持自动过期的存储（最省心的方案） #

如果你的架构允许换存储，把session从关系型数据库转到Redis这类支持键自动过期的存储里会省很多事：

• 当你在a.example.com创建session时，把session_id作为key，user_id作为value存入Redis，同时用EXPIRE命令给这个key设置和会话一样的过期时长。
• Redis会自动在key过期时删除这条记录，完全不用你写额外的清理逻辑。而且Redis的读写性能比关系型数据库好很多，适合会话这种高频访问的数据。
• 跨域的话，只要a.example.com和b.example.com都能访问同一个Redis实例，就能正常读取session对应的user_id。

3. 自定义会话过期触发逻辑（替代容器监听器） #

你提到容器级的监听器没法及时触发，大概率是因为容器的会话清理是懒加载的（比如Tomcat默认是定期扫描过期会话，不是实时触发）。可以改成自定义的触发逻辑：

• 在a.example.com的会话创建时，注册一个异步延迟任务（比如Java用ScheduledExecutorService，Python用Celery的延迟任务），延迟时间就是会话的有效期。
• 当延迟任务触发时，直接去数据库删除对应的session记录。如果用户在会话过期前又访问了，就取消旧的延迟任务，重新注册一个新的。
• 这个方法能保证会话一到期就立刻触发删除，比容器监听器的实时性高很多。

4. 跨域会话同步通知（可选补充） #

如果a.example.com和b.example.com之间有内部服务接口，可以在a.example.com处理会话过期（主动注销或被动过期）时，调用b.example.com的内部接口，通知它清理对应的session相关数据。不过这个要注意：

• 一定要做幂等性处理，避免重复删除。
• 如果a.example.com挂了，可能会有通知遗漏，所以还是要配合前面的定时清理作为兜底。

总的来说，最推荐的是方案1+方案2的组合：如果能换Redis就优先用，不然就用主动检查加定时任务，这两个方案的可靠性最高，几乎不会出现过期记录堆积的问题。

内容的提问来源于stack exchange，提问作者eugene