Laravel执行session regenerate后重定向仍获取旧Session ID问题

问题场景 #

编写了如下Laravel路由代码：

// routes/web.php

Route::get('/', function () {
    print_r(['start' => session()->getId()]);
    
    session()->regenerate();
    
    print_r(['after start on /' => session()->getId()]);
    print_r(session()->all());
    
    sleep(5);

    return redirect('/get');
});

Route::get('/get', function () {
    
    print_r(['end on /get' => session()->getId()]);
    print_r(session()->all());
});

执行后发现，访问/get路由时无法获取更新后的Session ID，仍返回旧值lrTifbBYDeX8ihhUBwa4nnTWiOncWnVZmXXChHHk。当前web中间件组配置如下：

protected $middlewareGroups = [
        'web' => [
            \App\Http\Middleware\EncryptCookies::class,
            \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
            \Illuminate\Session\Middleware\StartSession::class,
            // \Illuminate\Session\Middleware\AuthenticateSession::class,
            \Illuminate\View\Middleware\ShareErrorsFromSession::class,
            \App\Http\Middleware\VerifyCsrfToken::class,
            \Illuminate\Routing\Middleware\SubstituteBindings::class,
        ],

        'api' => [
            'throttle:api',
            \Illuminate\Routing\Middleware\SubstituteBindings::class,
        ],
    ];

测试Laravel 8、9、10版本均出现此问题。

原因分析 #

问题出在Laravel中间件的执行顺序和会话Cookie的更新时机：

• StartSession中间件会在路由逻辑之前执行，它会初始化会话并将当前会话ID写入响应Cookie。
• 在路由内部调用session()->regenerate()时，虽然生成了新会话ID并复制了会话数据，但此时StartSession已经完成了Cookie的设置，新ID无法自动更新到响应Cookie中。
• 跳转后的/get请求仍然携带旧会话Cookie，因此Laravel会加载旧会话，导致ID未更新。

解决方法 #

方法一：手动调用会话中间件的Cookie更新逻辑 #

在路由中注入StartSession中间件实例，生成新会话ID后，手动调用其addCookieToResponse方法更新响应Cookie：

// routes/web.php

Route::get('/', function (\Illuminate\Http\Request $request, \Illuminate\Session\Middleware\StartSession $startSession) {
    print_r(['start' => session()->getId()]);
    
    session()->regenerate();
    
    print_r(['after start on /' => session()->getId()]);
    print_r(session()->all());
    
    sleep(5);

    $response = redirect('/get');
    // 手动更新响应中的会话Cookie
    $startSession->addCookieToResponse($request, $response);
    
    return $response;
});

Route::get('/get', function () {
    print_r(['end on /get' => session()->getId()]);
    print_r(session()->all());
});

方法二：结合migrate方法与Cookie更新 #

session()->migrate(true)（regenerate(true)是其别名）会生成新会话ID并删除旧会话，结合手动保存会话后更新Cookie：

Route::get('/', function (\Illuminate\Http\Request $request, \Illuminate\Session\Middleware\StartSession $startSession) {
    print_r(['start' => session()->getId()]);
    
    // 生成新会话并删除旧会话
    session()->migrate(true);
    // 手动保存会话数据
    session()->save();
    
    print_r(['after start on /' => session()->getId()]);
    print_r(session()->all());
    
    sleep(5);

    $response = redirect('/get');
    $startSession->addCookieToResponse($request, $response);
    
    return $response;
});

内容的提问来源于stack exchange，提问作者José Victor