Laravel 10.x Session认证异常：未勾选“记住我”登录后重定向

• 先查会话生命周期配置
  不勾选“记住我”时用的是默认会话有效期，勾选时走的是remember_token的长期有效机制。打开config/session.php：

  • 看看expire_on_close是不是设成了true，但服务器端缓存（比如Redis）的过期时间和这个冲突，导致会话刚创建就失效；
  • 检查lifetime是不是设成0或者极小值，直接让非记住我的会话瞬间过期，触发重定向。

• 追踪会话ID是否突变
  在登录前后加日志打印会话ID：

  // 登录请求处理前
  Log::info('登录前会话ID: ' . session()->getId());
  // 执行Auth::attempt(...)之后
  Log::info('登录后会话ID: ' . session()->getId());
  

  如果登录后会话ID变了，说明Laravel认证时强制刷新了会话，但没同步CSRF令牌。大概率是自定义认证逻辑里手动调用了session()->regenerate()，但没重新生成CSRF令牌，或者项目里有自定义中间件篡改了会话。

• 排查VerifyCsrfToken的自定义逻辑
  看看项目是不是重写了VerifyCsrfToken中间件的tokensMatch()方法。默认Laravel会检查_token、X-CSRF-TOKEN、X-XSRF-TOKEN这几个地方的令牌，如果自定义了这个方法，可能漏了非记住我场景的校验逻辑。先恢复默认实现试试：

  protected function tokensMatch($request)
  {
      $token = $this->getTokenFromRequest($request);
      return is_string($request->session()->token()) &&
             is_string($token) &&
             hash_equals($request->session()->token(), $token);
  }
  

• 检查登录后的重定向逻辑
  确认认证成功后的重定向是不是依赖session('url.intended')。如果非记住我场景下会话提前失效，这个值就不存在，会默认跳回登录页。可以在LoginController的authenticated()方法里手动指定重定向地址测试：

  protected function authenticated(Request $request, $user)
  {
      return redirect()->route('dashboard'); // 换成你项目里的实际路由
  }
  

• 清缓存彻底排查
  手动清掉服务器端的会话存储：file驱动就删除storage/framework/sessions里的文件，Redis驱动执行FLUSHDB；同时清除浏览器的Cookie和缓存，避免旧会话残留导致令牌不匹配。

内容的提问来源于stack exchange，提问作者Jeremy Layson