服务端必须拒绝过期session_id请求，而非依赖前端倒计时；Express需显式配maxAge并用Redis等支持过期的store，Django需设SESSION_COOKIE_AGE和SESSION_SAVE_EVERY_REQUEST=True，Spring Boot需确认server.servlet.session.timeout及Spring Session的TTL配置生效。
Session 超时时间在 Web 框架里怎么设
超时不是靠前端倒计时“假装有效”，而是服务端必须拒绝过期 session_id 的后续请求。不同框架默认行为差异大，比如 express 默认用 memory-store，重启就丢 session，根本没机会触发超时；django 默认 1209600 秒（14 天），远超安全要求。
实操建议：
- Express +
express-session：必须显式配maxAge（毫秒），且搭配支持过期的 store（如redis-store），cookie.maxAge只控制客户端 cookie 存活，不等于 session 服务端存活 - Django：改
SESSION_COOKIE_AGE（秒）和SESSION_SAVE_EVERY_REQUEST = True，否则 idle 超时不会刷新，只在登录时设一次 - Spring Boot：
server.servlet.session.timeout是基础配置，但若用了 Spring Session（如 Redis），还得确认spring.session.redis.flush-mode和 TTL 设置是否生效
为什么设置 30 分钟后自动登出，用户却还能操作
常见错误是混淆了「会话有效期」和「用户活跃判断」。服务端只认 session_id 是否在存储中且未过期，不主动探测用户是否真在操作。如果用户一直点按钮、发请求，哪怕页面没刷新，session 就会被每次请求刷新，实际永不超时。
实操建议：
- 启用
rolling sessions（滚动超时）要谨慎：Express 默认开启，Django 需SESSION_SAVE_EVERY_REQUEST=True，这会让 idle 时间无法累积 - 真要实现“30 分钟无操作即登出”，得前端配合心跳（如每 5 分钟发
/api/keepalive），后端只对这类请求刷新 session；普通页面请求不刷新 - 检查中间件顺序：若认证中间件在 session 中间件之前运行，可能跳过 session 刷新逻辑
Redis 存 session 时 timeout 不生效的坑
用 connect-redis 或 spring-session-data-redis 时，maxAge 设了但 Redis 里 key 永不消失，大概率是 store 初始化时没传对参数，或底层 Redis 客户端版本不兼容 TTL 命令。
实操建议：
- Express：确认
RedisStore构造时传了client（不是redis.createClient()返回的旧版 client），新版需用redis.createClient({ socket: { host: '...' } }) - Spring Boot：若用 Lettuce，检查
spring.redis.lettuce.pool.max-active是否为 -1（无限制），连接池枯竭会导致 setex 失败，key 无 TTL - 手动验证：用
redis-cli执行TTL your:session:key，返回 -1 表示没设过期，立刻查代码里 store 初始化逻辑
前端登出按钮点了没反应，或者登出后还能进接口
这不是前端问题，是后端登出逻辑没清干净：只删了客户端 cookie，没删服务端 session 数据；或删了 session，但没让旧 session_id 立即失效（比如 Redis key 还在，只是没 refresh）。
实操建议：
- 登出时必须调用框架提供的销毁方法：
req.session.destroy()（Express）、request.session.flush()（Django）、sessionRepository.deleteById(sessionId)（Spring Session） - 别依赖
res.clearCookie('connect.sid')单独清 cookie，它不碰服务端数据 - 接口权限校验不能只看
session.userId是否存在，得加一层检查：该 session 是否已被标记为 invalid（可用 Redis 的SETNX invalid:sessionId 1 EX 300实现软删除）
最常被忽略的是：超时逻辑和登出逻辑共用同一套存储机制，但登出要立即生效，超时可以容忍几秒延迟。两者不能混用一套 TTL 策略，得分开处理。
