java - Tomcat session cookie 不会过期

Question

我在 Tomcat 7 中有一个 Web 应用程序，它将用户信息作为 DTO 对象保存在 session 中。我还为我的项目启用了 Spring 安全性，如果用户没有 session ，它会自动将用户重定向到登录页面。

如果我登录到我的应用程序一次，然后在 Eclipse 中重新启动 Tomcat，会发生的情况是我的 session 被刷新，但 cookie 没有消失。

这意味着在服务器重新启动后， session 中没有 UserDto，但有效的 JSESSIONID 保留在浏览器中。因此 spring security 仍然认为用户已登录，而实际上他并未登录。

为什么会这样？ (我已经通过在 Firefox 中查看页面信息来检查 JSESSIONID cookie 的类型，它说 - Expire: At end of session。因此它应该在服务器重启时理想地过期，或者不应该吗？)

编辑:虽然 Firefox 说 Expire: At end of session 如果我关闭并重新启动 Firefox，cookie 仍然存在。

Answer 1

从 Servlet 3.0 到 cookie 添加过期日期你可以添加 cookie-config 到你的 web.xml 文件

<session-config>
    <session-timeout>30</session-timeout> 
    <cookie-config>
        <max-age>1800</max-age>
    </cookie-config>
</session-config>