Java Wicket应用实现用户无活动指定时长后自动登出并跳转登录页

我之前在做Wicket项目的时候也碰到过一模一样的问题——光靠HttpSession.setMaxInactiveInterval()确实只能让后端会话过期，但前端页面会一直停在那里，用户完全没感知。要实现完整的「无活动自动登出+跳转登录页」，得前后端配合着来，我给你梳理下具体的实现步骤：

1. 先配置可自定义的会话超时时间 #

首先把超时时长做成可配置项，比如放在项目的application.properties配置文件里：

session.inactive.timeout=600 # 单位：秒，可根据需求修改

然后在Wicket的Application子类里读取这个配置，同时同步设置HttpSession和Wicket自身的会话超时（保持两者一致很重要）：

@Override
protected void init() {
    super.init();
    // 读取配置的超时时间，默认值设为600秒
    int timeoutSeconds = Integer.parseInt(getConfiguration().getString("session.inactive.timeout", "600"));
    
    // 设置Servlet容器的HttpSession超时
    getServletContext().setSessionTimeout(timeoutSeconds);
    
    // 配置Wicket的会话超时策略
    getSessionSettings().setTimeout(timeoutSeconds);
    getSecuritySettings().setAuthenticationStrategy(new DefaultAuthenticationStrategy());
}

2. 前端+后端联动的无活动检测逻辑 #

前端需要监听用户的交互行为（点击、键盘输入、鼠标移动等），如果超时时间内没有任何操作，就触发后端的登出请求。我们可以把这个逻辑封装成Wicket的Behavior，方便所有页面复用：

public class SessionTimeoutBehavior extends AbstractDefaultAjaxBehavior {
    private final int timeoutSeconds;

    public SessionTimeoutBehavior(int timeoutSeconds) {
        this.timeoutSeconds = timeoutSeconds;
    }

    // 后端处理登出逻辑
    @Override
    protected void respond(AjaxRequestTarget target) {
        // 失效当前会话
        WebSession.get().invalidate();
        // 跳转到登录页
        target.getPage().setResponsePage(LoginPage.class);
    }

    // 注入前端检测的JS代码
    @Override
    public void renderHead(Component component, IHeaderResponse response) {
        super.renderHead(component, response);
        String callbackUrl = getCallbackUrl().toString();
        
        String jsScript = String.format("""
            let timeoutTimer;
            const timeoutMs = %d * 1000;
            
            // 重置计时器的核心函数
            function resetTimeout() {
                clearTimeout(timeoutTimer);
                timeoutTimer = setTimeout(() => {
                    // 触发Wicket的AJAX请求，执行后端登出逻辑
                    Wicket.Ajax.get({u: '%s'});
                }, timeoutMs);
            }
            
            // 监听所有用户交互事件
            document.addEventListener('mousemove', resetTimeout);
            document.addEventListener('keydown', resetTimeout);
            document.addEventListener('click', resetTimeout);
            document.addEventListener('scroll', resetTimeout);
            
            // 页面加载时启动计时器
            resetTimeout();
            
            // 页面卸载时清除计时器，避免内存泄漏
            window.addEventListener('beforeunload', () => {
                clearTimeout(timeoutTimer);
            });
            
            // 监听Wicket的AJAX请求成功事件，只要有AJAX请求就重置计时器
            Wicket.Event.subscribe('/ajax/call/success', function() {
                resetTimeout();
            });
        """, timeoutSeconds, callbackUrl);
        
        response.render(JavaScriptHeaderItem.forScript(jsScript, "session-timeout-script"));
    }
}

3. 给所有页面添加超时检测行为 #

创建一个基础页面BasePage，让所有需要超时检测的业务页面都继承它，在BasePage的构造方法里添加刚才的SessionTimeoutBehavior：

public class BasePage extends WebPage {
    public BasePage() {
        // 从配置中获取超时时间
        int timeoutSeconds = Integer.parseInt(getApplication().getConfiguration().getString("session.inactive.timeout", "600"));
        // 添加超时检测行为
        add(new SessionTimeoutBehavior(timeoutSeconds));
    }
}

这样所有继承BasePage的页面都会自动拥有无活动检测功能，不用每个页面单独配置。

4. 兜底处理：后端会话超时的异常拦截 #

即使前端JS出现异常，后端的HttpSession超时依然会生效。这时候用户再操作页面会触发Wicket的未授权异常，我们可以在Application类里配置异常处理，自动跳转到登录页：

@Override
public void init() {
    super.init();
    getRequestCycleSettings().setExceptionMapper(new IRequestCycleExceptionMapper() {
        @Override
        public IRequestHandler map(Exception e, RequestCycle cycle) {
            if (e instanceof UnauthorizedResourceException) {
                // 未授权时跳转到登录页
                return new RenderPageRequestHandler(new PageProvider(LoginPage.class));
            }
            // 其他异常交给默认处理逻辑
            return null;
        }
    });
}

额外优化：多标签页同步 #

如果用户打开了多个标签页，一个标签页的操作应该同步重置所有标签页的计时器。可以通过localStorage实现：
在resetTimeout函数里添加一行：

localStorage.setItem('lastActivityTime', Date.now());

然后在JS开头添加监听storage事件的代码：

window.addEventListener('storage', (e) => {
    if (e.key === 'lastActivityTime') {
        resetTimeout();
    }
});

这样一套实现下来，就能完美满足你的需求：可配置的超时时长、无活动自动登出、自动跳转登录页，同时兼顾了前后端的兜底逻辑。

内容的提问来源于stack exchange，提问作者Dhanalakshmi Subbiah