(JSP)ログインページでのリロード（F5更新）に関する、セッションタイムアウトについて

Question

ログインページでのリロード（F5更新）時に発生するセッションタイムアウトについて質問させてください。

シンプルなログインセッション構造を、下記のように作りました。
これを、JSPをもとにしたアプリケーションで再利用したいと考えています。

■web.xml (テストのためタイムアウトを1分にしました)

<session-config><session-timeout>1</session-timeout></session-config>

<filter><filter-name>Hello</filter-name><filter-class>com.app.Hello</filter-class></filter>
<filter-mapping><filter-name>Hello</filter-name><url-pattern>*</url-pattern></filter-mapping>

<servlet><servlet-name>Login</servlet-name><servlet-class>com.app.Login</servlet-class></servlet>
<servlet-mapping><servlet-name>Login</servlet-name><url-pattern>/login</url-pattern></servlet-mapping>

■Hello.java

// ログインチェック。もしログインしてなければログインを促す
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws ServletException, IOException {
HttpServletRequest req = (HttpServletRequest) request;
boolean isLogged = req.getSession(false) != null && req.getSession().getAttribute("userId") != null;
if (req.getServletPath().equals("/login") || isLogged)
chain.doFilter(request, response);
else
((HttpServletResponse) response).sendRedirect(req.getContextPath() + "/login");
}

■Login.java（テストのため認証を短くしています）

protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
if (request.getRequestedSessionId() != null && !request.isRequestedSessionIdValid())
request.setAttribute("failure", "セッションタイムアウト");
request.getSession().setAttribute("userId", null);
request.getRequestDispatcher("login.jsp").forward(request, response);
}

protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
request.getSession().setAttribute("userId", new User());
response.sendRedirect("");
}

login.jspにはログイン失敗メッセージを受け取る${failure}フィールドを記述しているのですが、
問題は、login.jspページでタイムアウトした後にログインページで再読み込み（F5キー、またはアドレスバーでEnter）を行うと、${failure}の値として「セッションタイムアウト」を受け取って表示してしまうことです。
前のページがログインページであると認識させ、動作させる方法がわかりません。

Answer 1

一つのやり方として、パブリックなJSPにセッションを生成させないようにすることができます。
下記の行をJSPファイルの1行目に書き加えることで、JSPページに暗黙オブジェクトの「session」は使用できなくなります。

<%@page session="false" %>

そうすることでrequest.getRequestedSessionId()はnullを返し、タイムアウトチェックは回避され、セッションはユーザーがログインしたときのみ生成されます。

また、下記の行をサーブレットから取り除いておいてください。（※この行が残っているとセッションを生成させてしまう為）

request.getSession().setAttribute("user", null);