SSO对会话超时的影响

Question

我需要在Windows域和J2EE Web应用程序之间实现SSO。

我一直在想这会对Web应用程序的会话超时产生什么影响。 我们有2个小时的超时时间。

如果我们实现一个看起来不太明显的SSO，那么我认为它可能会使用户感到困惑。

SSO将使Web应用程序立即可用。

我担心他们会开始填写表格，然后去吃午餐（或其他东西），并在会议超时后回来。 但是，由于SSO会再次对其进行签名（但现在有了一个新的会话），因此这可能不会立即发生。

有没有人有类似的经验以及如何处理？ 我们是否仅需要实现某种形式的额外消息传递来告知用户他们之前的会话已超时并且工作已丢失？

Answer 1

我认为，如果重置用户会话，则肯定需要弹出某种“警报”框。 让他们单击消息上的“确定”，然后将其重定向到主页。

另外，如果您按照我的想法去做，我认为2小时超时听起来是个坏主意。 您是说用户从登录上班起有2个小时的会话超时时间吗？ 发生10分钟的超时这样更有意义，但是只要用户在该会话中发送新请求，计时器就会重置。

Answer 2

旧问题，但万一有人遇到它：

尽力在服务器会话中不存储任何状态。 客户，很好； 后端服务器的持久性（如数据库），还可以。 两者之间什么也不会丢失。 当用户无缝地重新认证时，他们不会注意到切换。 超时时间变得无关紧要。

六年后的现在，这个答案实际上更加可行，因为有几个前端框架可以为您存储数据。 您仍然可以在服务器上使用Spring Security （例如），因为新会话仍在进行身份验证。 它应立即重新生成您的安全信息（SecurityContext，UserDetails等）。 无论请求获得还是发送数据，都应该“正常工作”。

Answer 3

超时不是从登录开始测量的静态固定时间，而是动态的不活动状态度量。

在网站上，我们会在10分钟左右后使用此功能，因此网页会返回登录页面（使用JS），并且用户可以根据需要重新启动。

如果他们忙于漫长的过程，他们正在查看结果或其他内容，请检查鼠标移动或类似的提示键，以表明他们仍在忙。