Java后端HttpSession多用户会话串扰问题原因排查

兄弟，你这问题的核心错误简直一目了然——你把用户的私有会话数据错存在了全局的ServletContext里，这完全搞混了不同上下文的作用域！

先给你掰扯清楚两个关键容器的本质区别：

• ServletContext：这是整个Web应用的全局共享容器，所有访问系统的用户、所有会话都共用同一个实例。你把用户的nom、login这类私有信息存在这儿，后面登录的user2直接就把user1的数据覆盖了，这就是为什么user1刷新后会拿到user2的信息——全局上下文里的用户数据早就被替换了！
• HttpSession：这才是每个用户独有的会话容器，不同浏览器（不同用户会话）的HttpSession是完全隔离的，各自存储自己的私有数据，互相不会干扰。你明明说登录成功时创建了HttpSession，但根本没把用户数据存进去，等于白忙活了！

你的实现错误点非常明确：
你创建了HttpSession，但实际把用户属性存入了ServletContext，这直接违背了会话管理的初衷。正确的做法应该是把用户信息存入当前请求对应的HttpSession中。

给你举个修复后的代码示例：

// 登录成功后，获取当前请求的HttpSession（true表示无会话则创建）
HttpSession session = request.getSession(true);
// 将用户私有信息存入专属的Session，而非全局ServletContext
session.setAttribute("nom", user.getNom());
session.setAttribute("login", user.getLogin());

再回头解释你遇到的现象：

1. user1登录时，你把他的信息存到ServletContext，此时全局容器里是user1的数据；
2. user2登录时，同样把自己的信息存到ServletContext，直接覆盖了user1的旧数据；
3. user1刷新页面时，程序从ServletContext取数据，自然拿到的是刚更新的user2的信息，而真正该存数据的HttpSession里是空的，所以原会话上下文直接丢失。

最后给你划重点：

• 绝对不要用ServletContext存储用户的私有会话数据，它只适合放全局共享的内容（比如系统配置、公共缓存）；
• 所有用户个人信息必须存入对应用户的HttpSession；
• 后续获取用户信息时，也要从HttpSession里取，而不是ServletContext。

内容的提问来源于stack exchange，提问作者tiamat