页面“长时间”操作引起的Session过期

这种情况就应该算超时，万一在他上厕所的时间里，有其他人利用这个空档做了手脚怎么办？这就像屏保一样，要在用户不交互达到一定时间时锁定。不管用户是不是离开位子。

那只是打个比方，即使人不离开座位，比如接个电话什么的，超过5分钟不去点页面也是很有可能的，要求用户隔一定时间要点一下页面是不太可能的，所以由人为的操作来触发与服务器的连接是不恰当的。

不过如果要求session 5分钟过期就是安全性上的考虑的话，还就是得隔一定时间人为触发一下。

赞成！如果不是这样的话，这个问题就不存在讨论的基础了，直接设置Session不过期就可以了。

这个世界上有什么新鲜花样？特别是java的业务实现，都是别人做过的东西。这种逻辑抄袭就行了。
从安全角度上看，自动连接刷新session是非常危险的。多用些网银就知道了，就是2种做法：
1，主动通知：服务器端把session的timeout设为5分钟，页面有个计时器（新页面的话会重新计时），如果到了5分钟，就通知客户说，你5分钟没连接session了，是否要logout（客户点否，就用javascript送一个httprequest去刷session），客户选“是”或者不选都算logout。这段代码应该包括在所有的页面中。前面一个朋友说用事件函数也可以，但是如果在每个页面都这样写，可能会和别的逻辑代码冲突。
2，被动认证：另外一种做法还是自动timeout，超时的话就去一个页面多输入一次密码。我觉得这种实现实际是多层架构，就是在app server层有timeout，实际上web server的是没有timeout或者很长的timeout，这样保证了安全性和页面逻辑的一致性。

如果Server端得自身运算超过5分钟，应该如何处理session?

你先试一下看看。。。

你这情况肯定要跟客户协调了，必须说明有些操作会费时超过5分钟，因此他们的要求是办不到的。

我对自动刷新有哪些危险比较有兴趣

客户端的操作有5分钟，是不是性能有问题？
能不能优化呢

选中2000条数据需要5分钟？这个是不是有点慢？用户受得了吗？