如何让用户知道他/她的会话已过期？

Question

我已将 Tomcat 设置为在 15 分钟不活动后处理会话。这样的事情

<session-config>
    <session-timeout>15</session-timeout>
</session-config>

每当用户访问受限页面（需要用户登录的页面）时，我都会检查会话以查看登录过程是否已完成。如果有，则授予访问权限；如果没有，则用户将被重定向到登录页面，系统会提示他/她输入有效的 ID 和密码。如果会话超时，则用户需要重新登录。这很好，但我想让用户知道他/她必须再次登录，因为会话已超时。

我该怎么做呢？我找到了 HttpSessionListener 接口，并认为它可能会有所帮助，但 sessionDestroyed 方法是在会话失效之前调用的，因此设置参数没有什么好处，正如预期的那样。

Answer 1

登录时，设置一个长期存在的 cookie（1 天？），您在正常注销期间将其删除（将年龄设置为 0）。如果在用户未登录且 cookie 仍然存在的情况下再次登陆登录页面，则意味着会话已过期。

<c:if test="${empty user && not empty cookie.user}">
    You were logged out because the session was expired.
</c:if>

Answer 2

当您将用户重定向到登录表单时，设置指示会话已过期的请求参数、url 参数或 cookie（如果您使用 cookie，则在显示登录表单后删除 cookie）。然后，在显示表单时，检查会话过期指示器并显示适当的消息。

Answer 3

您可以通过以下方式检查会话是否已过期和/或超时：

if (request.getRequestedSessionId() != null
        && !request.isRequestedSessionIdValid()) {
    // Session is expired
}

使用 getRequestedSessionId 区分新会话和现有（有效/过期）会话，并使用 isRequestedSessionIdValid 区分新会话和现有会话。有效和新的/过期的会话。

您可以将此代码放入过滤器中。