Rails 7 + Devise能否通过cookie_store设置个性化会话超时？

结论先行：cookie_store完全可以实现用户自定义的会话过期需求，你之前的问题出在回调时机不对，导致修改的session选项没有同步到浏览器cookie中。

问题原因 #

你使用的after_action执行时机太晚——Rails在控制器动作执行完成后、发送响应前就已经生成了cookie头，此时修改request.session_options[:expire_after]不会触发cookie的更新，自然无法在浏览器中看到变化。

正确实现方式 #

1. 在登录动作中直接设置会话超时

重写Devise的SessionsController的create方法，在登录成功后立即修改会话过期配置：

class SessionsController < Devise::SessionsController
  def create
    super do |member|
      # 仅当用户登录成功时设置自定义超时
      if member.persisted?
        timeout = member.member_setting.session_timeout || 12.hours
        request.session_options[:expire_after] = timeout.seconds
      end
    end
  end
end

这里利用Devise的create方法在登录成功后会yield用户对象的特性，确保在响应构建前修改会话选项，此时Rails会根据新的expire_after生成对应的cookie。

2. （可选）用户活跃时重置会话超时

如果需要用户在活跃操作时自动延长会话有效期，可以在ApplicationController中添加逻辑，每次请求时刷新过期时间：

class ApplicationController < ActionController::Base
  before_action :refresh_session_expiry, if: :member_signed_in?

  private

  def refresh_session_expiry
    timeout = current_member.member_setting.session_timeout || 12.hours
    request.session_options[:expire_after] = timeout.seconds
    # 必须修改会话内容，触发Rails重新发送cookie
    session[:session_touch] = Time.now.to_i
  end
end

注意：必须修改会话中的某个值（比如这里的session[:session_touch]），否则Rails会认为会话内容没有变化，不会重新生成并发送cookie，浏览器的过期时间也不会更新。

验证方法 #

登录后查看浏览器的Application -> Cookies面板，找到_appname_session cookie，检查其Expires/Max-Age是否与用户设置的超时值一致；同时在后续请求时，该值会随着活跃操作自动延长。

内容的提问来源于stack exchange，提问作者sampenguin