Anfrage.getSession(false) nicht null zurückgeben nach dem Aufruf von session.invalidate()

Ich derzeit herauszufinden, ob ein Benutzer angemeldet ist, sich durch die Suche nach null-Attribute

Das ist auch die normale Vorgehensweise. Um zu überprüfen, ob ein Benutzer angemeldet ist, sollten Sie sicherlich nicht überprüfen, wenn der servletcontainer erzeugt hat, die Sitzung oder nicht. Diese repräsentieren nicht die angemeldeten Benutzer.

Auf login, nur die user-model-Objekt in der session-scope ohne zu prüfen, ob die container geschaffen hat, die Sitzung für Sie. In anderen Worten, verwenden Sie einfach getSession() ohne Boolesches argument, so dass der container wird automatisch erstellen Sie, falls nötig, müssen die Sitzung an dieser Stelle trotzdem:

@Override
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    String username = request.getParameter("username");
    String password = request.getParameter("password");
    User user = userService.find(username, password);

    if (user != null) {
        request.getSession().setAttribute("user", user);
        response.sendRedirect(request.getContextPath() + "/home");
    } else {
        request.setAttribute("message", "Unknown login. Please retry.");
        request.getRequestDispatcher("/WEB-INF/login.jsp").forward(request, response);
    }
}

On-access-Filterung, nur prüfen, ob die session-Attribut repräsentiert den angemeldeten Benutzer vorhanden ist, verwenden Sie nur getSession(false) hier zur Vermeidung unnötiger Sitzung Schöpfung, die ansonsten zum Beispiel such-Roboter auslösen würde der session-Erzeugung ist völlig unnötig:

@Override
public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest request = (HttpServletRequest) req;
    HttpServletResponse response = (HttpServletResponse) res;
    HttpSession session = request.getSession(false);
    User user = (session != null) ? (User) session.getAttribute("user") : null;
    String loginURL = request.getContextPath() + "/login"; 

    if (user == null && !request.getRequestURI().equals(loginURL)) {       
        response.sendRedirect(loginURL);
    } else {
        chain.doFilter(request, response);
    }
}

Auf Abmelden, stellen Sie sicher, dass Sie senden eine Umleitung nach ungültig, weil die aktuelle session noch verfügbar ist, in der Antwort eine vorwärts.

@Override
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    request.getSession().invalidate();
    response.sendRedirect(request.getContextPath() + "/login");
}