Java配置下HttpSessionEventPublisher失效问题排查求助

我之前在维护Spring Security老项目时也碰到过一模一样的坑——把web.xml里的HttpSessionEventPublisher改成Java配置后，查看在线用户的功能直接哑火了，尤其是用户登出时Session Registry完全收不到通知。结合你的技术栈（Spring Security 4.2.3、Java 8、Tomcat 8），给你几个亲测有效的排查和解决方向：

1. 确保Java配置里监听器注册时机正确 #

在web.xml里我们是这么配置监听器的：

<listener>
    <listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class>
</listener>

换成Java配置时，绝对不能用普通@Bean注解在配置类里创建，必须在ServletContext初始化的最早期就注册。你需要在继承AbstractAnnotationConfigDispatcherServletInitializer的初始化类里添加：

public class AppWebInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {
    // ...其他重写的getRootConfigClasses、getServletConfigClasses等方法

    @Override
    protected void registerServletContextListeners(ServletContext servletContext) {
        // 一定要先注册这个监听器，再调用父类方法
        servletContext.addListener(new HttpSessionEventPublisher());
        super.registerServletContextListeners(servletContext);
    }
}

Tomcat对监听器加载顺序有严格要求，晚注册的话会直接错过Session创建/销毁的事件通知，这是最常见的坑！

2. 检查Session Registry的配置链路 #

确保你的Spring Security配置里，Session Registry是被正确注入到会话管理模块的：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public SessionRegistry sessionRegistry() {
        return new SessionRegistryImpl();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .sessionManagement()
                .maximumSessions(1) // 根据你的业务需求调整，核心是绑定sessionRegistry
                .sessionRegistry(sessionRegistry());
    }
}

同时确认你用来展示在线用户的视图，是正确调用sessionRegistry.getAllPrincipals()来获取数据的，没有因为配置变更导致依赖注入失败。

3. 验证登出流程是否触发Session销毁事件 #

有时候登出配置的细节会导致事件没触发，检查你的登出配置：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .logout()
            .logoutUrl("/logout")
            .invalidateHttpSession(true) // 必须确保这个属性为true，默认也是true，但最好显式声明
            .deleteCookies("JSESSIONID");
}

分别测试手动登出和Session超时登出两种场景，看看Session Registry里的用户数据是否都会同步更新。

内容的提问来源于stack exchange，提问作者user2000974