众所周知，在实际的Web应用程序中，会话管理一般都采用Web容器会话管理功能。

使用Tomcat做Web服务器也是如此，而且从安全的角度考虑，尽量避免去更改和干预Web容器的会话管理功能。

Tomcat会话管理功能肯定比我们自己做出来要全面和可靠，况且Tomcat是主流开源社区维护的，有专门的团队来开发和维护，一旦爆出安全漏洞，也能很快被修复。

在实际开发中，为了满足安全审计的要求，Web应用程序一旦有会话注销，就应该记录操作日志，注销一般分为操作者主动注销、应用程序检测到异常攻击主动注销会话、超时注销会话。

对于主动注销和检测到攻击注销会话，能够很容易的记录操作日志，达到要求。

但是对于超时会话注销，很多人都感觉没办法实现，一种比较常见的方法就是自己开发一个心跳程序，通过客户端页面不断向服务端发送心跳，服务端通过线程来接收心跳和轮训来去超时注销，从而记录操作日志。

这种虽然能够达到记录操作日志的效果，但是客户端向服务端多发了很多请求，一旦系统并发量很高的时候，服务端业务压力会增加，不是一个好的处理方式。

Web容易能够配置会话超时时间，就应该能够监听会话的创建和注销吧？答案是肯定的，Tomcat确实可以通过HttpSessionListener来实现，Session创建事件发生在每次一个新的session创建的时候，类似地Session失效事件发生在每次一个Session失效的时候。

这个接口也只包含两个方法，分别对应于Session的创建和失效：
public void sessionCreated(HttpSessionEvent se); 

public void sessionDestroyed(HttpSessionEvent se);

所以我们只要实现HttpSessionListener，在sessionDestroyed方法中可以实现记录操作日志的功能。

具体需要在我们Web应用程序的web.xml文件中来配置下我们实现的监听类，代码样例和web.xml配置如下：

1）代码样例

public class SessionManager implements HttpSessionListener
{

    public void sessionCreated(HttpSessionEvent se)
    {
        // ....
    }

    public void sessionDestroyed(HttpSessionEvent se)
    {
        // ......
    }
}

<session-config>  
<session-timeout>30</session-timeout>  
</session-config> 
<listener>  
<listener-class>com.test.SessionManager</listener-class>  
</listener>  

Tomcat会话超时时如何记录操作日志，满足安全审计要求