Perl Dancer2 Cookie会话未按预期过期问题求助

问题核心原因 #

你使用Dancer2的Cookie会话引擎时，仅设置default_duration无法让客户端Cookie按时过期，因为Cookie会话引擎默认会将客户端Cookie设为「会话Cookie」（仅浏览器关闭时过期），而非按配置的时间自动失效。同时Cookie会话的所有数据加密后存在客户端，服务器重启不会清除客户端的Cookie，所以重启后仍能保持登录状态。

修正后的配置方案 #

更新config.yml，补充cookie_options参数明确客户端Cookie的过期规则，同时强化安全性：

session: Cookie
engines:
  session:
    Cookie:
      secret_key: 'Sooper Sekrit Passfraze Hear'
      default_duration: 18000
      # 新增客户端Cookie配置，这是控制过期的关键
      cookie_options:
        max_age: 18000  # 与default_duration保持一致，单位秒
        secure: true     # 仅HTTPS传输Cookie（需应用启用HTTPS）
        httponly: true   # 禁止JS访问Cookie，防范XSS
        path: "/"        # Cookie作用路径
        domain: "your-app-domain.com"  # 根据实际域名调整
      with_request_address: 0

关键配置解释 #

• cookie_options.max_age：直接定义客户端Cookie的生存时长，这是让Cookie按时过期的核心参数，之前的配置缺失这一项，导致Cookie默认是会话级别的。
• secure: true：确保Cookie仅在加密的HTTPS连接中传输，避免明文泄露。
• httponly: true：阻止前端JavaScript读取Cookie，降低跨站脚本攻击窃取会话的风险。

额外优化建议 #

• 定期轮换secret_key：长期使用同一密钥会增加泄露风险，建议每隔一段时间更新密钥。
• 实现会话刷新机制：用户活跃时自动延长会话有效期，提升体验。可通过Dancer2钩子实现：

hook 'after' => sub {
    my $session = session;
    if ($session && $session->is_valid) {
        # 每次活跃时将会话有效期延长5小时
        $session->expires(time + 18000);
    }
};

• 避免敏感数据存Cookie：Cookie会话的数据存在客户端，即使加密也不适合存储支付、用户隐私等敏感信息，这类数据建议存在服务器端。

更安全的服务器端会话方案 #

如果需要更高安全性，建议切换回Memcached会话引擎，仅用Cookie存储会话ID，会话数据存在服务器端：

session: Memcached
engines:
  session:
    Memcached:
      servers: "127.0.0.1:11211"
      default_duration: 18000
      cookie_name: "dancer_session_id"
      cookie_options:
        max_age: 18000
        secure: true
        httponly: true
        path: "/"
        domain: "your-app-domain.com"

这种方案下，Memcached过期或服务器重启后，会话会自动失效，同时敏感数据不会暴露在客户端。

内容的提问来源于stack exchange，提问作者user1742494