关于shiro的session问题

最近使用shiro之后，发现登录有一个问题，使用sessionDAO.getActiveSessions() 发现session莫名会多出一个或几个没有经过认证的，
后来搜索来网上的开涛的shiro教程里面，发现也存在这个问题，目前我只是用判断s.getAttribute(DefaultSubjectContext.PRINCIPALS_SESSION_KEY是否为null来统计在线人数和会话列表。想问问，我哪些地方有可能配置不对，或者原本就存在这种情况？我配置web.xml 减少shiro的过滤去掉静态资源等等减少session的读取，只是减少，并没有改变·这种bug。萌新，请大神指导下，大概什么方面错误。部分配置截图