在一般系統登入後，都會設定一個當前session失效的時間，以確保在使用者長時間不與伺服器互動，自動退出登入，銷燬session
具體設定的方法有三種：
1.在web容器中設定（以tomcat為例）
在tomcat-7.0\conf\web.xml中設定，以下是tomcat7.0中預設配置：

<session-config>
<session-timeout>30</session-timeout>
</session-config>

tomcat預設session超時時間為30分鐘，可以根據需要修改，負數或0為不限制session失效時間

這裡要注意這個session設定的時間是根據伺服器來計算的，而不是客戶端。所以如果在除錯程式，應該是修改伺服器端時間來測試，而不是客戶端

2.在工程的web.xml中設定
<!--時間單位為分鐘-->

<session-config>
<session-timeout>15</session-timeout>
</session-config>

　這裡的15是指15分鐘失效

3.通過java程式碼設定
session.setMaxInactiveInterval(30*60);//以秒為單位，即在沒有活動30分鐘後，session將失效

三種方式優先等級：1 < 2 < 3

在一般系統中，也可能需要在session失效後做一些操作：
1.控制使用者數，當session失效後，系統的使用者數減少一個，控制使用者數量在一定範圍內，確保系統的效能
2.控制一個使用者多次登入，當session有效時，如果相同使用者登入，就提示已經登入了，當session失效後，就可以不同提示，直接登入
那麼如何在session失效後，進行一系列的操作呢？
這裡就需要用到監聽器了，即當session因為各種原因失效後，監聽器就可以監聽到，然後執行監聽器中定義好的程式就可以了
監聽器類為：HttpSessionListener類，有sessionCreated和sessionDestroyed兩個方法

public class SessionListener implements HttpSessionListener{      
             
       public void sessionCreated(HttpSessionEvent event) {      
       HttpSession ses = event.getSession();      
       String id=ses.getId()+ses.getCreationTime();      
       SummerConstant.UserMap.put(id, Boolean.TRUE);     //新增使用者      
}      
       
  public void sessionDestroyed(HttpSessionEvent event) {      
      HttpSession ses = event.getSession();      
      String id=ses.getId()+ses.getCreationTime();      
      synchronized (this) {      
                     SummerConstant.USERNUM--;   //使用者數減一      
                     SummerConstant.UserMap.remove(id); //從使用者組中移除掉，使用者組為一個map      
              }      
       }      
}
 

然後只需要把這個監聽器在web.xml中宣告就可以了

<listener>
<listener-class>com.demo.OnlineUserListener</listener-class>
</listener>