问如何获取web应用程序中所有HttpSession对象的列表？

EN

假设我有一个运行中的基于Java的web应用程序，其中有0个或更多有效的HttpSession对象与之关联。我想要一种访问有效HttpSession对象的当前列表的方法。我在想，我可以实现一个HttpSessionListener，并使用它将其附加到存储在应用程序范围的属性中的会话id值的列表中，但是当会话失效时，我不得不更新列表，而且谁知道还会发生什么。

在我开始烘焙我自己的解决方案之前，我想我应该问一个问题：

servlet API是否提供了访问未失效会话对象的完整列表的方法？

我使用Tomcat6.x作为我的web应用程序容器，并使用MyFaces 1.2.x (JSF)库。

解决方案

我遵循了一种类似于BalusC在以下现有问题中讨论的方法：

• How to easily implement "who is online" in Grails or Java Application ?
• JSF: How to invalidate an user session when he logs twice with the same credentials

为了实现HttpSessionBindingListener，我通过SessionData类进行了修改。当绑定事件发生时，对象将在所有SessionData对象的集合中添加或删除自身。

@Override
public void valueBound(HttpSessionBindingEvent event) { 
    // Get my custom application-scoped attribute
    ApplicationData applicationData = getApplicationData();
    // Get the set of all SessionData objects and add myself to it
    Set<SessionData> activeSessions = applicationData.getActiveSessions();
    if (!activeSessions.contains(this)) {
        activeSessions.add(this);
    }
}

@Override
public void valueUnbound(HttpSessionBindingEvent event) {
    HttpSession session = event.getSession();
    ApplicationData applicationData = getApplicationData();
    Set<SessionData> activeSessions = applicationData.getActiveSessions();
    if (activeSessions.contains(this)) {
        activeSessions.remove(this);
    }
}

有一件事仍然让我恼火，那就是当Tomcat重启时会发生什么。除非Tomcat已正确配置为不将会话序列化到磁盘，否则它将这样做。当Tomcat再次启动时，HttpSession对象(以及SessionData对象)被反序列化，会话再次生效。但是，序列化/反序列化完全避开了HttpSession侦听器事件，因此在重新启动后，我没有机会正常地将对SessionData的反序列化引用放回我的托管对象集中。

在我客户的组织中，我无法控制Tomcat的生产配置，所以我不能假设它会按照我期望的方式完成。

我的解决方法是在收到请求时将HttpSession创建时间与应用程序启动时间进行比较。如果会话是在应用程序启动时间之前创建的，那么我调用invalidate()，用户将被发送到一个错误/警告页面，其中包含对发生的事情的解释。

我通过实现ServletContextListener并从侦听器的contextInitialized()方法中将当前时间存储在应用程序范围的对象中来获取应用程序的启动时间。