request.isRequestedSessionIdValid() 在会话无效后返回 true

Question

当我注销用户时，我通过调用 session.invalidate() 来使他的会话无效并将自己重定向回登录页面。

我的应用程序中除了登录页面之外的每个页面都是一个 JSP 页面。我在每个 JSP 页面中检查的是请求的会话是否存在以及请求的会话 ID 是否有效。

注销用户并调用 session.invalidate() 后，如果我尝试直接打开我的主页的 url，它仍然返回 request.isRequestedSessionIdValid() 为 true。此外，调用 session.invalidate() 不会使会话为空。

以下是我的代码：

注销.java

       session.inValidate();

在我的 home.jsp 中。我正在明确检查请求的会话是否有效。 以下是代码：

         HttpSession session=request.getSession();
         boolean a=request.isRequestedSessionValid()
         if(session==null || a==false){
         ...
         ...
         }

问题是 session 不返回 null 并且 a 仍然是 true，即使在注销用户之后（使 session 无效）。

感谢任何帮助！

Answer 1

我通过调用 session.invalidate() 使他的会话无效并将自己重定向回登录页面。

如果客户端在其会话无效后发出新请求，则 web 应用程序将在新的初始有效会话的上下文中处理该请求。如果 webapp 在会话失效和新请求之间向客户端发送响应，包括但不限于重定向响应，则该新请求不太可能请求失效会话的 ID。这是因为无论通过何种方式维护会话关联，响应都会让 webapp 有机会将前一个会话的结束信息传达给客户端，如果它甚至需要这样做的话。

在这种情况下，客户端可能会也可能不会请求任何会话 ID。如果没有，那么您将看到request.isRequestedSessionIdValid() 返回false；否则，您将看到request.isRequestedSessionIdValid() 返回false 的主要情况是会话自最近一次响应后超时。您不能依靠它来确定用户是否已通过身份验证。

注销用户并调用session.invalidate()后，如果我尝试直接打开我主页的url，它仍然返回request.isRequestedSessionIdValid()为true。

为什么不应该呢？

另外，调用 session.invalidate() 不会使会话为空。

不，它没有，也不应该。如果你想能够检测会话是否已经失效，那么你可以利用它失效后，它的大部分方法都会抛出IllegalStateException这一事实。但是，如果您发现自己需要知道这一点——除了在适当的上下文中捕获和处理 IllegalStateException 之外——那么你可能做错了什么。