有时，Vaadin在“会话超时”消息后不会使会话无效

Question

在我的Vaadin应用程序中，当Vaadin在“session Timeout”消息之后没有使会话无效时，我遇到了一个问题。收到此消息后，用户有时可以单击链接或刷新页面，并继续工作，就像他们仍在登录一样。我使用以下参数：

closeIdleSessions=true
heartbeatInterval=60
session-timeout=15

Last参数（session-timeout）也在context.xml（session-timeout=900)和web.xml（session-config/session-timeout=15)中设置。

有没有人面对这个挂名的问题？

更新1：固定参数段。

更新2:SessionDestroyListener.SessionDestroy在出现SessionExpired消息时不会触发。

更新3：上一个错误出现是因为代码错误。现在调用了SessionDestroyListener.SessionDestroy，但我没有从给定事件访问HttpSession的权限。

private static class SynchronizerSessionDestroyListener implements SessionDestroyListener {
    @Override
    public void sessionDestroy(SessionDestroyEvent event) {
        if (event.getSession() != null){
            WrappedSession wrappedSession = event.getSession().getSession();
            if (wrappedSession instanceof WrappedHttpSession){
                WrappedHttpSession wrappedHttpSession = (WrappedHttpSession) wrappedSession;
                HttpSession httpSession = wrappedHttpSession.getHttpSession();
                if (httpSession != null){
                    try {
                        httpSession.invalidate();
                        logger.debug("Session '{}' was invalidated", httpSession.getId());
                    } catch (IllegalStateException e){
                        // do nothing, already invalidated
                        logger.debug("Session '{}' was already invalidated: {}", httpSession.getId(), e.getMessage());
                    }
                } else {
                    logger.warn("Could not invalidate http session for vaadin session: http session is null"); // THIS IS THE BRANCH WHICH IS ACTUALLY GET EXECUTED ON 'SESSION EXPIRED' MESSAGE: event.getSession().getSession() is null!
                }
            } else {
                logger.warn("Could not invalidate http session for vaadin session: event session is not an http session");
            }
        } else {
            logger.warn("Could not invalidate http session for vaadin session: event session is null");
        }
    }
}

下面是我附加侦听器的方式：

public class X extends VaadinServlet {
    // different class members
    @Override
    protected void servletInitialized() throws ServletException {
        super.servletInitialized();
        getService().addSessionDestroyListener(new SynchronizerSessionDestroyListener());
    }
}

Answer 1

我将尝试解释会话无效化基本上是如何工作的，也许这会有所帮助（我无法从您的问题中读出太多信息）：

>

通常会话会在session-timeout参数中指定的时间之后超时。

但您必须考虑心跳间隔。如果您的心跳间隔短于会话超时（通常是这样），则心跳将使会话永远保持活动状态。

这就是参数closeidlesessions相关的地方。将此参数设置为true浏览器将不会将心跳作为超时的有效请求，而是作为最后一个非心跳请求。

<context-param>
 <!-- ATTENTION: This value is set in SECONDS -->
 <param-name>heartbeatInterval</param-name>
 <param-value>180</param-value>
</context-param>

<session-config>
  <!-- ATTENTION: This value is set in MINUTES -->
  <session-timeout>4</session-timeout>
</session-config>

<servlet>
    <servlet-name>VaadinServlet</servlet-name>
    <servlet-class>com.example.VaadinServlet</servlet-class>
    <init-param>
      <param-name>closeIdleSessions</param-name>
      <param-value>true</param-value>
    </init-param>
</servlet>

使用上面的web.xml，会话将在6分钟后超时（没有用户交互）。

说明:
会话超时设置为4分钟，但4分钟时没有心跳。下一次心跳将在6分钟。现在客户端引擎知道会话实际上超时了，并将显示相应的消息。

我不确定当使用Vaadin Push时，这是否是相同的过程，因为在那里，我们有一个从客户端到服务器的连续通道。