demande.getSession(faux) ne retourne pas null après l'appel de session.invalidate()

Je suis actuellement détecter si un utilisateur est connecté par la recherche de nulle attributs

C'est également l'approche normale. Pour vérifier si un utilisateur est connecté, vous devez sûrement pas vérifier si le servletcontainer a créé la session ou pas. Cela ne représente pas l'utilisateur connecté.

Sur login, il suffit de mettre le modèle de l'utilisateur de l'objet dans l'étendue de session sans vérifier si le conteneur a créé la session pour vous. En d'autres termes, il suffit d'utiliser getSession() sans argument booléen, de sorte que le conteneur autocreate si nécessaire, vous besoin la session à ce point quand même:

@Override
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    String username = request.getParameter("username");
    String password = request.getParameter("password");
    User user = userService.find(username, password);

    if (user != null) {
        request.getSession().setAttribute("user", user);
        response.sendRedirect(request.getContextPath() + "/home");
    } else {
        request.setAttribute("message", "Unknown login. Please retry.");
        request.getRequestDispatcher("/WEB-INF/login.jsp").forward(request, response);
    }
}

Sur le filtrage d'accès, il suffit de vérifier si la session de l'attribut représentant l'utilisateur connecté est présent, vous utilisez uniquement getSession(false) ici pour éviter la création de session, sinon, par exemple searchbots pourrait déclencher la création de session qui est totalement inutile:

@Override
public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest request = (HttpServletRequest) req;
    HttpServletResponse response = (HttpServletResponse) res;
    HttpSession session = request.getSession(false);
    User user = (session != null) ? (User) session.getAttribute("user") : null;
    String loginURL = request.getContextPath() + "/login"; 

    if (user == null && !request.getRequestURI().equals(loginURL)) {       
        response.sendRedirect(loginURL);
    } else {
        chain.doFilter(request, response);
    }
}

Sur déconnexion, assurez-vous d'envoyer une redirection après l'invalider, parce que la session en cours est toujours disponible dans la réponse de l'avant.

@Override
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    request.getSession().invalidate();
    response.sendRedirect(request.getContextPath() + "/login");
}

OriginalL'auteur BalusC