如何配置 Tomcat 领域超时

Question

我正在使用带有基本身份验证的 Tomcat 9 和 JNDIRealm 来验证用户身份。问题是一旦用户关闭网络浏览器，他就会再次被要求输入用户名和密码。这也是根据我可以找到的 Tomcat 文档：

一旦用户通过身份验证，用户（和他或她的相关角色）就会在用户登录期间缓存在 Tomcat 中。 （对于基于 FORM 的身份验证，这意味着直到会话超时或失效；对于 BASIC 身份验证，这意味着直到用户关闭浏览器）

这种行为很烦人，因为用户每次关闭浏览器后都必须登录。我希望用户登录被缓存 1 周。只有这样才会发生对凭据的挑战。有没有办法改变这种默认行为？

Answer 1

在默认配置中，身份验证在 Tomcat 会话期间缓存（参见 authenticators 上的 cache 属性）。

如果您的应用程序不使用HttpSessions（例如 REST API），验证器将尝试在没有它的情况下运行：

• BASIC 身份验证器将依赖于浏览器在浏览器会话期间缓存用户提供的凭据的行为，
• FORM 身份验证器必须使用 cookie，因此它始终会创建 Tomcat 会话。

但是，此行为是可配置的：只需在应用程序的上下文文件中设置 BasicAuthenticator 的 alwaysUseSession 属性（或将设置应用于所有应用程序的默认 conf/context.xml 文件）：

<Context>
    <Valve
        className="org.apache.catalina.authenticator.BasicAuthenticator"
        alwaysUseSession="true"/>
    ...
</Context>

备注：JSESSIONID cookie 本身默认在浏览器会话结束时过期（检查this answer），因此 Tomcat 的会话通常在您关闭浏览器时过期。您需要在应用程序的web.xml 描述符（或Tomcat 的默认conf/web.xml 文件）中配置适当的<max-age> 值。