Java会话无效且超时不起作用

Question

一切正常，但注销和会话销毁无效，我也不知道为什么。

如果会话无效或达到会话超时，为什么可以访问保护区。

看看这个HTTP服务器监控器

'http://localhost:8080/psg/admin/'

<security-constraint>
    <display-name>My First Sec Constraint</display-name>
    <web-resource-collection>
        <web-resource-name>Protected Area</web-resource-name>
        <url-pattern>/admin/*</url-pattern>
        ..

登录Servlet映射到/ admin /

    HttpSession session = request.getSession();

    if (session != null) {
        session.setAttribute("ID", session.getId());
        session.setAttribute("User", request.getRemoteUser());
        session.setAttribute("isAuthenticated", true);
        getServletContext().getRequestDispatcher("/index.jsp").forward(request, response);
    }     

注销Servlet映射到/ admin / logout

    HttpSession session = request.getSession(false);

    if(session!=null){
        session.invalidate();
        response.sendRedirect(request.getContextPath());
    }

如果会话超时必须销毁会话，则会出现相同的问题。 如果我输入受保护的区域/ psg / admin /，则在“持续时间”之后我也可以获得一个有效的会话

<session-timeout>1</session-timeout>

Answer 1

如果使用基本身份验证和摘要身份验证，浏览器将重新发送用户凭据，因此实际上没有注销，只有会话无效。

您需要使用基于表单的身份验证才能注销。