Session 超时不起作用 Spring 启动？

Question

我设置了以下属性

server.servlet.session.timeout=30s

在我的应用程序属性中，但未触发 session 超时。 但设置后

server.servlet.session.cookie.max-age=30s

session 超时已触发，但以下用于更新注销时间的代码未触发。

 @Component
    public class LogoutListener implements ApplicationListener<SessionDestroyedEvent> {
     
   @Override
        public void onApplicationEvent(SessionDestroyedEvent event)
        {
            List<SecurityContext> lstSecurityContext = event.getSecurityContexts();
            UserDetails ud;
            for (SecurityContext securityContext : lstSecurityContext)
            {
                ud = (UserDetails) securityContext.getAuthentication().getPrincipal();
        
                us.findAllUsersByEmail(ud.getUsername()).get(0).setLastLogout(LocalDateTime.now());
                System.out.println("lastloginspec : " + ud.getUsername() + " : 00 : " + LocalDateTime.now());
            }
        }
        
        }
    
    
    @Bean
        public ServletListenerRegistrationBean<HttpSessionEventPublisher> httpSessionEventPublisher() {
            return new ServletListenerRegistrationBean<HttpSessionEventPublisher>(new HttpSessionEventPublisher());
    }

任何人都可以帮助我吗？

Answer 1

我通过以下方式实现了 session 监听器。

1. 创建自定义 http session 侦听器。

    @Component public class CustomHttpSessionListener implements HttpSessionListener{ private static final Logger LOG= LoggerFactory.getLogger(Test.class); @Override public void sessionCreated(HttpSessionEvent se) { LOG.info("New session is created."); UserPrincipal principal = (UserPrincipal) SecurityContextHolder.getContext().getAuthentication().getPrincipal(); } @Override public void sessionDestroyed(HttpSessionEvent se) { LOG.info("Session destroyed."); UserPrincipal principal = (UserPrincipal) SecurityContextHolder.getContext().getAuthentication().getPrincipal(); }}

2. 调用新的 ServletListenerRegistrationBean 并向其添加 CustomHttpListener 并将其注解为 @Bean。

    @Autowired private CustomHttpSessionListener customHttpSessionListener; @Bean public ServletListenerRegistrationBean<CustomSessionListner>sessionListenerWithMetrics() { ServletListenerRegistrationBean<CustomSessionListner> listenerRegBean = new ServletListenerRegistrationBean<>(); listenerRegBean.setListener(customHttpSessionListener); return listenerRegBean; }

3. 向 application.properties 添加属性

   server.servlet.session.timeout = 15m

Answer 2

• 这不是一个完整的答案，而是一个隔离和排除故障的步骤。 将您的LogoutListener替换为并查看您何时启动应用程序是否正在打印任何事件。 如果它没有打印你的问题不是特定的SessionDestroyedEvent而是对你的听众来说是通用的。

     @Component
     public class LogoutListener 
         implements ApplicationListener<ApplicationEvent> {

     @Override
     public void onApplicationEvent(ApplicationEvent event)
     {
        System.out.println("event caught at  LogoutListener: " + event);
      }

    }

• 并将其添加到application.properties以查看是否触发了事件，因为它应该记录Publishing event:

    logging.level.org.springframework.security.web.session.HttpSessionEventPublisher=DEBUG