如何让JavaBean在用户离开后返回网站时仍被持久保留？

首先得帮你理清几个关键问题：

为什么直接访问index.jsp时UserBean会消失？ #

你把UserBean存在session里，session确实默认有30分钟的超时时间，但这里的核心问题是session依赖浏览器的JSESSIONID Cookie——这个Cookie是「会话级」的（默认maxAge=-1），一旦关闭浏览器，这个Cookie就会被删除。当你重新打开浏览器直接访问index.jsp时，服务器会创建一个全新的session，自然找不到之前存的UserBean了。

至于你试的dependent作用域，那是CDI（上下文和依赖注入）里的作用域，和HTTP会话完全不搭边，所以肯定没用。

如何实现「用户离开30分钟后返回无需重新登录」？ #

核心思路是把用户的登录状态持久化到浏览器本地，而不是只存在服务器的session里。常用的方案是用持久化Cookie（适合JavaEE传统项目），具体步骤如下：

1. 登录成功时生成持久化Cookie

当用户登录验证通过后，除了把UserBean存到session，还要生成一个加密的用户标识Cookie，设置它的过期时间为你想要的时长（比如30分钟），这样Cookie会被存在浏览器本地，即使关闭浏览器也不会立刻消失。

示例代码（在你的登录Servlet里添加）：

// 登录成功后初始化UserBean并存入session
UserBean userBean = new UserBean();
userBean.setLogin(user);
// 注意：不要存明文密码！只存必要的用户信息即可
userBean.setPassword(encryptedPass); // 建议存加密后的密码或直接省略
request.getSession().setAttribute("user", userBean);

// 创建持久化的"记住我"Cookie
Cookie rememberMeCookie = new Cookie("rememberMe", generateSecureToken(user.getId()));
rememberMeCookie.setMaxAge(30 * 60); // 30分钟，单位是秒
rememberMeCookie.setPath("/"); // 让整个网站的路径都能访问这个Cookie
rememberMeCookie.setHttpOnly(true); // 禁止JS读取Cookie，防止XSS攻击
rememberMeCookie.setSecure(true); // 生产环境务必开启，只在HTTPS请求中传输
response.addCookie(rememberMeCookie);

// 转发到index.jsp
RequestDispatcher dispatcher = request.getRequestDispatcher("/index.jsp");
dispatcher.forward(request, response);

2. 编写全局Filter自动恢复会话

写一个Filter拦截所有请求，每次请求时检查：如果session里没有用户信息，但浏览器带有有效的rememberMeCookie，就从数据库加载用户信息，重新存入session。这样用户直接访问index.jsp时，就能自动恢复登录状态。

示例Filter代码：

public class RememberMeFilter implements Filter {

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) 
            throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;

        // 如果session中没有用户，且存在rememberMe Cookie
        if (req.getSession().getAttribute("user") == null) {
            Cookie[] cookies = req.getCookies();
            if (cookies != null) {
                for (Cookie cookie : cookies) {
                    if ("rememberMe".equals(cookie.getName())) {
                        String token = cookie.getValue();
                        // 验证Token有效性，解密获取用户ID
                        Long userId = validateToken(token);
                        if (userId != null) {
                            // 从数据库加载用户信息（这里假设你有UserDao）
                            UserBean userBean = userDao.findById(userId);
                            if (userBean != null) {
                                req.getSession().setAttribute("user", userBean);
                            }
                        }
                        break;
                    }
                }
            }
        }
        chain.doFilter(req, res);
    }

    // 生成加密Token的工具方法（示例用HMAC签名，实际要更安全）
    private String generateSecureToken(Long userId) {
        String secretKey = "your-strong-secret-key"; // 不要硬编码！存在配置文件里
        // 用用户ID+密钥生成签名，防止Token被篡改
        String signature = HmacUtils.hmacSha256Hex(secretKey, userId.toString());
        return userId + ":" + signature;
    }

    // 验证Token并解析用户ID
    private Long validateToken(String token) {
        String secretKey = "your-strong-secret-key";
        String[] parts = token.split(":");
        if (parts.length != 2) {
            return null; // Token格式无效
        }
        try {
            Long userId = Long.parseLong(parts[0]);
            // 重新生成签名，和Token里的签名比对
            String expectedSignature = HmacUtils.hmacSha256Hex(secretKey, userId.toString());
            if (expectedSignature.equals(parts[1])) {
                return userId;
            }
        } catch (NumberFormatException e) {
            // 用户ID格式错误
        }
        return null; // Token验证失败
    }
}

3. 在web.xml中配置Filter

让这个Filter拦截所有请求：

<filter>
    <filter-name>RememberMeFilter</filter-name>
    <filter-class>com.yourpackage.RememberMeFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>RememberMeFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

4. 登出时清理Cookie

当用户主动登出时，要删除rememberMeCookie并销毁session：

// 登出逻辑
Cookie rememberMeCookie = new Cookie("rememberMe", "");
rememberMeCookie.setMaxAge(0); // 设置为0表示删除Cookie
rememberMeCookie.setPath("/");
response.addCookie(rememberMeCookie);

request.getSession().invalidate(); // 销毁当前session
response.sendRedirect("/login.jsp");

重要注意事项 #

• 不要在Cookie里存敏感信息：比如明文密码，只存用户ID和加密签名就够了，用户的详细信息从数据库加载。
• 加密密钥要妥善保管：绝对不能硬编码在代码里，建议存到配置文件或环境变量中。
• 安全性优化：生产环境一定要开启Cookie的Secure和HttpOnly属性，防止窃听和XSS攻击。
• 可配置的过期时间：可以给用户提供「记住我」的选项，勾选的话设置较长的Cookie过期时间（比如7天），不勾选就用会话级Cookie。

内容的提问来源于stack exchange，提问作者IAmATree