Java会话session

大家好，J2EE提供了声明性安全管理是我们不用编写代码就可以对我们的资源进行管理。但是这样的话就限制了只能使用在J2EE服务器中定义的用户进行登陆，但多数情况下用户的信息是存放在数据库中的，这时该怎么做呢?怎么样才可以使用数据库中的用户信息，同时可以享受到声明性安全模型带来的便利呢？

我希望如果用户在两分钟内没有发出请求，就视为超时。在servlet中我是这样设置的session.setMaxInactiveInterval(2*60);我等了十分钟再次发请求，会话还是很好，没有超时。是否和

我在业务中有个需求，需要对所有在缓存中的用户遍历，根据他们不同的情况发出通知消息。如果我采用stateful bean，我不知道怎样遍历这些bean，好像容器不提供这些标准方法，除非我hack jboss。

第一个问题，jsp/servlet中关于session的问题：我在jsp页面中用了如下代码：

我的理解： Session 这一层不是一味的明细的业务逻辑，也要分层，我们分出一个具有抽象意的Session Facade层,但这一层不是只有一个session, 也会涉及到粒度问题，所谓不要把egg全放在一个basket中，就是这个道理，要不，一个类做的事太多，不利于管理，也不符合设计的原则。

请帮忙

能说具体点吗？如何保存用户买的商品，谢谢！

是否需要加入时间标记到cookie 中呢如果cookie需要加入时间标记但是这个系统中session的过期是30 分而另一个session过期是60 分<