Spring Security会话超时问题：如何重定向登录或取消超时？

嘿，这个问题我之前帮不少开发者处理过，咱们分两种方案来匹配你的需求：

你遇到的500错误，本质是session过期后principal为null，但代码里没做空值处理，加上Spring Security默认不会自动跳转登录页导致的。咱们可以通过配置会话管理和异常处理来解决：

在你的WebSecurityConfig的configure(HttpSecurity http)方法里补充以下配置：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        // 保留你原有的其他配置，比如authorizeRequests、formLogin等
        .sessionManagement()
            // session失效后直接跳转到登录页
            .invalidSessionUrl("/login")
            // 可选：如果要限制单用户登录，加上这个配置，会话过期后也会跳转到带提示的登录页
            .maximumSessions(1)
            .expiredUrl("/login?expired=true")
            .and()
        .and()
        .exceptionHandling()
            // 处理未认证的请求，直接跳转到登录页
            .authenticationEntryPoint(new LoginUrlAuthenticationEntryPoint("/login"))
            // 可选：处理权限不足的情况，也可以重定向到登录页或提示页面
            .accessDeniedHandler((request, response, ex) -> {
                response.sendRedirect("/login?accessDenied=true");
            });
}

注意替换/login为你项目实际的登录页路径，同时确保你的控制器有对应路径的处理方法，能返回登录视图。

如果确实不需要会话超时功能，虽然从安全角度不建议（会话长期存在会增加被冒用的风险），但可以这样配置：

方式1：通过配置文件设置 #

在application.properties（或application.yml）中添加：

# Spring Boot 2.x及以上版本，-1表示会话永不过期
server.servlet.session.timeout=-1

方式2：通过代码增强配置 #

如果需要更细致的控制，在configure(HttpSecurity http)里补充：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        // 保留原有配置
        .sessionManagement()
            // 保持默认的会话创建策略（仅在需要时创建）
            .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
            // 即使取消超时，也建议配置这个，防止session被手动失效后出现异常
            .invalidSessionUrl("/login")
            .and();
}

注意：部分容器（比如Tomcat）默认有会话最大时长限制（比如24小时），如果需要真正的永不过期，可能还要修改容器配置，比如Tomcat的context.xml里添加：

<Context>
    <Manager maxInactiveInterval="-1" /> <!-- 设置会话永不过期 -->
    <Manager pathname="" /> <!-- 禁用会话持久化，避免重启服务器后会话丢失 -->
</Context>

整体来说，更推荐方案一，既保证安全，又能给用户友好的跳转体验；方案二仅在特殊业务场景下使用。

内容的提问来源于stack exchange，提问作者user9658240