Okta会话超时策略在Spring Boot OAuth2/OIDC集成中不生效 - 用户持续保持登录状态

我正在把Okta和我的Spring Boot应用集成，用OAuth2登录和OIDC做用户认证。我在Okta里设置了如下的会话策略：

我的预期是，如果用户在浏览器中保持1分钟无操作，应该自动登出，然后需要重新通过Okta登录。但实际情况不符合预期——即使超过1分钟无活动，用户依然保持登录状态。

Spring Boot 相关代码 #

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .oauth2ResourceServer(oauth2 -> oauth2
            .jwt(Customizer.withDefaults()) 
        )
        .authorizeHttpRequests(authorizeRequests ->
            authorizeRequests
                .anyRequest().authenticated()
        )
        .oauth2Login(oauth2Login -> oauth2Login
            // 此处配置未完整展示
        );
    return http.build();
}

问题分析与解决办法 #

Okta的会话超时策略不是孤立生效的，它需要和Spring Boot端的会话管理、OIDC状态同步配合起来，我帮你梳理几个核心调整点：

1. 先配置Spring Boot自身的会话超时

默认情况下Spring Boot的会话超时是30分钟，这会直接覆盖Okta的无活动超时设置。你需要在配置文件里修改会话超时时间，和Okta的1分钟保持一致：

# application.properties
server.servlet.session.timeout=1m
server.servlet.session.cookie.max-age=1m

如果用YAML格式：

# application.yml
server:
  servlet:
    session:
      timeout: 1m
      cookie:
        max-age: 1m

2. 让Spring Security和Okta会话状态同步

在SecurityFilterChain里补充会话管理和登出配置，确保Spring Boot会话失效后能自动跳转到Okta重新登录，同时清理本地会话和Cookie：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .oauth2ResourceServer(oauth2 -> oauth2
            .jwt(Customizer.withDefaults()) 
        )
        .authorizeHttpRequests(authorizeRequests ->
            authorizeRequests
                .anyRequest().authenticated()
        )
        .oauth2Login(oauth2Login -> oauth2Login
            .loginPage("/oauth2/authorization/okta")
            .defaultSuccessUrl("/home")
        )
        .sessionManagement(session -> session
            .invalidSessionUrl("/oauth2/authorization/okta")
            .maximumSessions(1)
            .expiredUrl("/oauth2/authorization/okta")
        )
        .logout(logout -> logout
            .logoutSuccessUrl("/oauth2/authorization/okta")
            .invalidateHttpSession(true)
            .deleteCookies("JSESSIONID")
        );
    return http.build();
}

3. 确认Okta策略的应用范围

检查你在Okta里设置的会话超时策略，是否明确绑定到了当前集成的Spring Boot应用，而不是全局策略或者其他无关应用。另外，Okta的无活动超时是从用户最后一次和Okta的交互（比如登录、令牌刷新）开始计算的，如果用户只是和你的Spring Boot应用交互，没有触发Okta的操作，可能需要额外配置令牌自动刷新。

4. 前端加入会话状态检查（可选）

如果需要更及时地感知Okta会话失效，可以在前端页面加入定期检查逻辑，比如用Okta的check_session_iframe机制，或者直接使用Okta官方的Sign-In Widget，它会自动处理会话超时的检测和登出跳转。

备注：内容来源于stack exchange，提问作者Prabagaran Sellamuthu