Spring实现用户登录会话超时自动登出问题求助

让我们一步步分析你遇到的问题，然后给出不用web.xml的Spring原生解决方案：

一、你的两种方案为什么失效？ #

1. 自定义LoginSuccessHandler未生效的可能原因 #

你在onAuthenticationSuccess里设置request.getSession().setMaxInactiveInterval(60*10)的思路是对的，但没生效大概率是因为：

• 你没有把这个自定义Handler正确注册到Spring Security的登录流程中，导致代码根本没被执行；
• Spring Security或Servlet容器的全局会话超时配置覆盖了你设置的局部会话超时。

2. SessionListener的问题 #

你在sessionDestroyed里调用event.getSession().invalidate()完全是多余的——sessionDestroyed方法本身就是会话即将被容器销毁时触发的回调，这时候会话已经处于销毁流程中，调用invalidate不会产生任何效果。

至于用户还能正常浏览，核心原因是Spring Security没有检测到会话已失效，没有拦截失效会话的请求，导致用户仍能访问受保护资源。

二、不用web.xml的正确解决方案 #

根据你的需求，推荐以下几种优雅的实现方式：

方案1：Spring Boot项目直接配置（最简单） #

如果是Spring Boot项目，直接在application.properties或application.yml里添加一行配置即可全局设置会话超时：

# 设置会话10分钟无活动后超时
server.servlet.session.timeout=10m

同时在Spring Security配置类里添加会话失效后的跳转逻辑，确保用户超时后被引导到登录页：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // ... 其他权限配置
            .sessionManagement()
                // 会话失效后跳转的登录页面（带参数提示超时）
                .invalidSessionUrl("/login?timeout=true")
                // 可选：限制同一用户只能登录一次
                .maximumSessions(1)
                .expiredUrl("/login?expired=true");
    }
}

方案2：传统Spring项目用ServletContextInitializer配置全局超时 #

如果是传统Spring项目（非Boot），可以通过ServletContextInitializer来替代web.xml的session-timeout配置：

@Bean
public ServletContextInitializer servletContextInitializer() {
    return servletContext -> {
        // 设置全局会话超时为10分钟
        servletContext.setSessionTimeout(10, TimeUnit.MINUTES);
    };
}

同样需要在Spring Security配置类里添加invalidSessionUrl，确保会话失效后拦截请求并跳转登录。

方案3：自定义LoginSuccessHandler（局部会话超时） #

如果你需要给不同用户设置不同的会话超时（比如管理员超时更长），可以继续用自定义LoginSuccessHandler，但必须确保它被正确注册到Spring Security：

@Service
public class CustomLoginSuccessHandler extends SavedRequestAwareAuthenticationSuccessHandler {

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws ServletException, IOException {
        // 根据用户角色动态设置超时（示例）
        if (authentication.getAuthorities().contains(new SimpleGrantedAuthority("ADMIN"))) {
            request.getSession().setMaxInactiveInterval(60*30); // 管理员30分钟超时
        } else {
            request.getSession().setMaxInactiveInterval(60*10); // 普通用户10分钟超时
        }
        super.onAuthenticationSuccess(request, response, authentication);
    }
}

然后在Security配置类里注册这个Handler：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomLoginSuccessHandler loginSuccessHandler;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .formLogin()
                .successHandler(loginSuccessHandler) // 注册自定义Handler
                .and()
            .sessionManagement()
                .invalidSessionUrl("/login?timeout=true");
    }
}

三、关键注意事项 #

• 会话超时是无活动时间，即用户10分钟内没有任何请求，会话才会失效；如果用户一直在操作，会话会自动刷新；
• 确保Spring Security的sessionManagement配置正确，否则即使会话失效，用户仍可能访问受保护资源；
• 不要在sessionDestroyed里做多余操作，容器会自动处理会话销毁的 cleanup。

内容的提问来源于stack exchange，提问作者user9517781