前两天在开发过程中，因为登录信息放在了session中。

           SecurityUtils.getSubject().getSession().setTimeout(-10001);

            // 如果URL不为空，则判断为远程认证，验证通过跳转到URL，并携带用户信息
            String url = request.getParameter("url");
            Map<String, Object> data = Maps.newHashMap();
            session.setAttribute("username", username);
            session.setMaxInactiveInterval(900);//15分钟后session失效
            response.init(0, "登录成功");
            response.getData().put("url", "/iwifi/app/employeeview.html");

遇到了一个问题，就是当用户session过期后，刷新页面之后不能正常回到登录页面。而是非法访问了拦截器所拦截的资源。
本来以为在拦截器里面判断一下访问路径，和session的情况，如果为空，直接 response.sendRedirect到登录页面就是了。但是比较麻烦的是。页面里面的请求都是ajax请求，对于ajax请求的页面，XMLHTTPRequest对象发起的而不是浏览器，在验证失败后的页面跳转无法反应到浏览器中，因为服务器返回（或输出）的信息被JavaScript（XMLHTTPRequest对象）接到了。
故不能直接用 response.sendRedirect直接返回。
解决方案如下：
在拦截器里面加入：

if (request.getSession().getAttribute("username")==null){
          String url = request.getRequestURI();
          if (url.matches("/iwifi/app/(.*)")){//判断访问资源路径
              if( request.getHeader("x-requested-with") != null && request.getHeader("x-requested-with").equals("XMLHttpRequest")  ) {
                  response.setHeader("sessionstatus", "timeout");//请求头加入sessionstatus超时信息
              } else {
                  response.sendRedirect( request.getContextPath() + "loginapp.html");
              }
              return false;
          }
      }

在JS里面加入：

   //全局的ajax访问，处理ajax清求时sesion超时
        $.ajaxSetup({
            contentType : "application/x-www-form-urlencoded;charset=utf-8",
            complete : function(XMLHttpRequest, textStatus) {
                var sessionstatus = XMLHttpRequest.getResponseHeader("sessionstatus"); // 通过XMLHttpRequest取得响应头，sessionstatus，
                if (sessionstatus == "timeout") {
                    // 如果超时就处理 ，指定要跳转的页面
                    window.location.replace("../../iwifi/loginapp.html");
                }
            }
        });

这样即可解决ajax请求遇到session丢失的情况。