当前位置：文江博客话题详情

如何区分注销和会话过期？

发布于 2024-09-10 21:30:51 字数 149 浏览 3 评论 0原文

情况 1：注销：一旦我们注销，如果尝试访问前一个，它必须自动重定向到 login.jsp

情况 2：会话过期：如果用户仍然登录时会话过期，它必须尝试自动重定向到 sessionExpired访问上一页时的.jsp。

如何区分？我当前在注销时使会话无效。

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

您的好友蓝忘机已上羡 2024-09-17 21:30:51

登录时，设置一个具有较长有效期（> 24 小时）的 cookie。通过将 maxage 设置为 0，在注销时删除此 cookie。

您可以检查任何未登录的用户（即无效的会话 ID）。
如果cookie不存在，则将他重定向到login.jsp

如果cookie存在，则意味着他的会话已过期，因此将他重定向到session-expired.jsp

回复收藏 0 原文

她说她爱他 2024-09-17 21:30:51

您可以通过检查是否 HttpServletRequest#getRequestedSessionId() 不会返回 null （这意味着客户端已发送会话 cookie，因此假定会话仍然有效）和 HttpServletRequest #isRequestedSessionIdValid() 返回false（这意味着会话在服务器端已过期）。

简而言之：

public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws ServletException, IOException {
    HttpServletRequest request = (HttpServletRequest) req;
    HttpServletResponse response = (HttpServletResponse) res;
    HttpSession session = request.getSession(false);

    if (request.getRequestedSessionId() != null && !request.isRequestedSessionIdValid()) {
        response.sendRedirect(request.getContextPath() + "/sessionexpired.jsp");
    } else if (session == null || session.getAttribute("user") == null) {
        response.sendRedirect(request.getContextPath() + "/login.jsp");
    } else {
        chain.doFilter(request, response);
    }
}

无需再为额外的饼干而烦恼。将此Filter映射到覆盖受保护页面的url-pattern上（从而排除sessionexpired和登录页面！）。

不要忘记在受保护的页面上禁用浏览器的页面缓存，否则当您返回浏览器历史记录时，网络浏览器将从缓存中加载它们，而不是向服务器发送新请求。您可以通过在调用 Chain#doFilter() 之前在同一过滤器中执行以下操作来实现此目的。

response.setHeader("Cache-Control", "no-cache, no-store, must-revalidate"); // HTTP 1.1.
response.setHeader("Pragma", "no-cache"); // HTTP 1.0.
response.setDateHeader("Expires", 0); // Proxies.

You can test expired sessions by checking if HttpServletRequest#getRequestedSessionId() doesn't return null (which means that the client has sent a session cookie and thus assumes that the session is still valid) and HttpServletRequest#isRequestedSessionIdValid() returns false (which means that the session has been expired at the server side).

In a nut:

public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws ServletException, IOException {
    HttpServletRequest request = (HttpServletRequest) req;
    HttpServletResponse response = (HttpServletResponse) res;
    HttpSession session = request.getSession(false);

    if (request.getRequestedSessionId() != null && !request.isRequestedSessionIdValid()) {
        response.sendRedirect(request.getContextPath() + "/sessionexpired.jsp");
    } else if (session == null || session.getAttribute("user") == null) {
        response.sendRedirect(request.getContextPath() + "/login.jsp");
    } else {
        chain.doFilter(request, response);
    }
}

No need to hassle with extra cookies. Map this Filter on an url-pattern covering the protected pages (and thus excluding the sessionexpired and login pages!).

Don't forget to disable page caching by the browser on the protected pages, otherwise the webbrowser will load them from the cache when you're going back in the browser history, instead of sending a new request to the server. You can achieve this by doing the following in the same filter, before Chain#doFilter() call.

response.setHeader("Cache-Control", "no-cache, no-store, must-revalidate"); // HTTP 1.1.
response.setHeader("Pragma", "no-cache"); // HTTP 1.0.
response.setDateHeader("Expires", 0); // Proxies.

回复收藏 0 原文