Rails 7 PWA会话时长过短：移动端已安装应用频繁登出问题

问题现象 #

• 移动端安装的PWA存在两种自动登出情况：强制关闭后重新打开会登出；后台运行数小时后自动登出
• 桌面浏览器中运行可保持登录状态数日，仅移动端PWA出现此问题
• PWA基础功能正常：可正常安装、Service Worker已注册、manifest文件读取无异常

当前环境配置 #

• 身份验证使用Devise，会话存储采用ActiveRecordStore
• devise.rb核心配置：

  Rails.application.config.session_store :active_record_store, key: 'app_session', expires_after: 1.month
  

• 已确认session表存在，用户验证时Devise会在该表中创建会话记录

已尝试的无效操作 #

• 切换至ActiveRecordStore存储会话，并确认会话已存入数据库
• 为ActiveRecordStore添加expires_after: 1.month配置，无效果
• 在devise.rb中设置config.timeout_in = 14.days，无效果

针对性排查与解决方法 #

1. 调整会话Cookie的安全属性 #

移动端PWA独立运行时，浏览器对Cookie的限制比普通网页更严格。需确保会话Cookie的SameSite、Secure等属性配置符合移动端要求：

# config/initializers/devise.rb 或 session_store.rb
Rails.application.config.session_store :active_record_store, 
  key: 'app_session',
  expires_after: 1.month,
  secure: Rails.env.production?, # 生产环境强制HTTPS传输Cookie
  same_site: :lax, # 若涉及跨域请求可改为:none，需配合secure: true
  httponly: true, # 禁止前端JS访问Cookie，提升安全性
  domain: :all # 若应用涉及子域名，需指定具体域名如'.yourdomain.com'

2. 修正Service Worker的缓存策略 #

Service Worker可能缓存了旧的未认证页面，导致打开PWA时读取缓存而非最新会话状态。需为认证后页面添加禁用缓存的响应头：

# 在需要保持会话的控制器中添加
before_action :set_no_cache_headers

private

def set_no_cache_headers
  response.headers["Cache-Control"] = "no-cache, no-store, must-revalidate"
  response.headers["Pragma"] = "no-cache"
  response.headers["Expires"] = "0"
end

同时检查Service Worker的缓存逻辑，避免缓存登录状态相关的页面或API请求。

3. 优化PWA的系统优先级 #

移动端系统会回收长时间后台运行的低优先级进程，导致会话丢失。通过manifest.json优化PWA的系统优先级：

// app/assets/config/manifest.json
{
  "display": "standalone", // 独立窗口运行，提升进程优先级
  "background_color": "#ffffff",
  "theme_color": "#4285f4",
  "start_url": "/",
  "scope": "/",
  // 确保包含正确的图标和启动画面配置
  "icons": [
    {
      "src": "/icon-192x192.png",
      "sizes": "192x192",
      "type": "image/png"
    }
  ]
}

4. 检查Devise的timeoutable模块 #

如果User模型包含:timeoutable模块，可能与全局timeout_in设置冲突：

# app/models/user.rb
devise :database_authenticatable, :registerable,
       :recoverable, :rememberable, :validatable # 若不需要超时功能，移除:timeoutable

若需保留超时功能，确保devise.rb中的config.timeout_in设置正确，且未被控制器逻辑覆盖。

5. 验证会话过期时间的正确性 #

通过Rails控制台确认session表的expires_at字段是否正确设置：

# rails console
Session.last.expires_at # 检查是否为当前时间+1个月

如果expires_at未正确生成，尝试将配置中的expires_after改为expire_after（部分Rails版本存在命名差异）：

Rails.application.config.session_store :active_record_store, 
  key: 'app_session',
  expire_after: 1.month # 替换expires_after为expire_after

内容的提问来源于stack exchange，提问作者Matt Heisig