Java Request.isRequestedSessionValid() session 过期后仍然为 true

Question

我正在使用 Spring Security 3.0 并创建了一个自定义过滤器来检查过期的 session 。

我的问题是 request.isRequestedSessionValid() 在我的过滤器中返回 true，即使在我让 session 过期或注销之后也是如此。如果我尝试访问任何安全页面，我会被重定向到我的登录页面，因此我知道 session 管理有效。

我的理解是，当Web session 超时时， session 会自动失效，并且我还在Spring Security的注销元素中设置了invalidate-session。 session 如何仍然有效？我检查的值是否错误？

Answer 1

request.isRequestedSessionValid() 本身可以导致创建 session ，即使在调用注销之后也是如此。使用 request.getSession(false) != null 进行检查，这将确保不会创建 session 。