jakarta-ee - 当 LTPA token 过期时，WebSphere 8.5.5 上的 UnauthorizedSessionRequestException 与 vaadin Web 应用程序

Question

在我们的 vaadin Web 应用程序中，当 LTPA token 过期时，我们会收到 UnauthorizedSessionRequestException。之后应用程序不再响应。即使 session 未处于非事件状态并且用户执行某些操作，LTPA token 也会过期。我们生产服务器上的 LTPA token 超时设置为 120 分钟。但是我也可以在我的本地机器上测试它，在我的 Web Sphere Liberty Profile 中超时 1 分钟以理解问题。

这是德语异常的堆栈跟踪:

[ERROR   ] SESN0008E: Ein als anonymous authentifizierter Benutzer hat versucht, auf eine Sitzung zuzugreifen, deren Eigner user:BasicRegistry/ksc ist.
[ERROR   ] SRVE0777E: Es wurde eine Ausnahme von der Anwendungsklasse 'com.vaadin.server.VaadinServlet.service:240' ausgelöst.
javax.servlet.ServletException: com.vaadin.server.ServiceException: com.ibm.websphere.servlet.session.UnauthorizedSessionRequestException: SESN0008E: Ein als anonymous authentifizierter Benutzer hat versucht, auf eine Sitzung zuzugreifen, deren Eigner user:BasicRegistry/ksc ist.
    at com.vaadin.server.VaadinServlet.service(VaadinServlet.java:240)
    at javax.servlet.http.HttpServlet.service(HttpServlet.java:668)
    at com.ibm.ws.webcontainer.servlet.ServletWrapper.service(ServletWrapper.java:1240)
    at [internal classes]

用英语

A user authenticated as anonymous has attempted to access a session owned by user

Answer 1

LTPA token 的工作方式与 session 完全不同。

创建 LTPA token 后，它将在特定时间内有效，在 LTPA token 超时(在您的情况下为 120 分钟)中设置。虽然每次向服务器发出请求时 session 超时都会延长，但 LTPA token 超时不会。即使向服务器发出后续请求， token 也会保持其原始超时时间。

还有另一个设置控制何时应该扩展 LTPA token 。此设置称为 cacheCushionMax，其默认值为三分钟。这意味着 LTPA token 仅在剩余时间少于此值时才会在请求时刷新。如果在 LTPA token 到期前还有超过三分钟的时间，它将保留其旧的超时时间。

要更改此值:

导航到 Java 虚拟机的自定义属性部分(必须为集群中的每个服务器重复)

使用您想要的值(以分钟为单位)创建(或编辑，如果存在)名为 com.ibm.ws.security.cacheCushionMax 的属性。 cacheCushionMax 值不能大于 LTPA 超时值的 1/5。

我找到的最好的资源是在 IBM support page 上.它是旧的，但仍然有效。我写的内容也在更详细的场景中进行了解释，特别是在“最小有效到期时间”部分下