如何在Flutter应用中保持用户登录状态？后端使用Symfony 2

要实现用户登录后关闭App再打开无需重新登录，需要客户端持久化存储会话凭证，同时后端配置会话有效期并提供验证机制，分两部分处理：

一、Flutter 客户端实现 #

1. 安全存储会话凭证 #

登录成功后，把后端返回的会话ID（Symfony默认是PHPSESSID）存储到本地安全存储中，推荐用flutter_secure_storage（比shared_preferences更安全，防止凭证被窃取）：

import 'package:flutter_secure_storage/flutter_secure_storage.dart';

final storage = const FlutterSecureStorage();

// 登录接口成功响应后，提取并存储session ID
void onLoginSuccess(Response response) async {
  // 从Set-Cookie头里提取PHPSESSID
  final cookieHeader = response.headers['set-cookie'];
  if (cookieHeader != null) {
    final sessionId = cookieHeader.split(';')[0].split('=').last;
    await storage.write(key: 'session_id', value: sessionId);
  }
}

2. App启动时自动验证会话 #

App启动时先读取本地存储的session ID，若存在则调用后端验证接口确认会话有效性，有效则直接进入主页，否则跳登录页：

void main() async {
  WidgetsFlutterBinding.ensureInitialized();
  final storage = const FlutterSecureStorage();
  final sessionId = await storage.read(key: 'session_id');

  Widget initialPage = const LoginPage();
  if (sessionId != null) {
    // 调用后端验证接口
    final dio = Dio();
    dio.options.headers['Cookie'] = 'PHPSESSID=$sessionId';
    try {
      final response = await dio.get('https://your-backend.com/check-auth');
      if (response.data['authenticated'] == true) {
        initialPage = const HomePage();
      }
    } catch (e) {
      // 验证失败，清除无效session ID
      await storage.delete(key: 'session_id');
    }
  }

  runApp(MaterialApp(home: initialPage));
}

3. 请求自动携带会话凭证 #

用Dio拦截器给所有请求自动带上session ID的Cookie，避免每次请求手动处理：

class SessionInterceptor extends Interceptor {
  final FlutterSecureStorage storage;

  SessionInterceptor(this.storage);

  @override
  void onRequest(RequestOptions options, RequestInterceptorHandler handler) async {
    final sessionId = await storage.read(key: 'session_id');
    if (sessionId != null) {
      options.headers['Cookie'] = 'PHPSESSID=$sessionId';
    }
    super.onRequest(options, handler);
  }
}

// 初始化Dio时添加拦截器
final dio = Dio()..interceptors.add(SessionInterceptor(storage));

二、Symfony 2 后端配置 #

1. 延长会话有效期 #

修改app/config/config.yml中的session配置，确保服务器端会话和客户端Cookie的有效期足够长（示例设为一周）：

framework:
    session:
        handler_id: session.handler.native_file
        save_path: "%kernel.root_dir%/../var/sessions/%kernel.environment%"
        cookie_lifetime: 604800 # 一周（60*60*24*7）
        gc_maxlifetime: 604800 # 服务器端会话回收时间，需和cookie_lifetime一致
        cookie_secure: false # 生产环境用HTTPS时设为true
        cookie_http_only: true # 开启防止XSS窃取Cookie

2. 实现会话验证接口 #

写一个简单的接口，供Flutter客户端验证会话是否有效：

<?php

namespace AppBundle\Controller;

use Symfony\Bundle\FrameworkBundle\Controller\Controller;
use Symfony\Component\HttpFoundation\JsonResponse;
use Symfony\Component\Routing\Annotation\Route;

class AuthController extends Controller
{
    /**
     * @Route("/check-auth", name="check_auth")
     */
    public function checkAuthAction()
    {
        $user = $this->getUser();
        if ($user) {
            return new JsonResponse([
                'authenticated' => true,
                'user' => [
                    'id' => $user->getId(),
                    'username' => $user->getUsername()
                ]
            ]);
        }

        return new JsonResponse(['authenticated' => false], 401);
    }
}

3. 配置跨域（若需） #

如果Flutter客户端和后端跨域，安装nelmio/cors-bundle并配置允许携带Cookie：

nelmio_cors:
    defaults:
        allow_credentials: true
        allow_origin: ['*'] # 生产环境指定具体域名
        allow_methods: ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS']
        allow_headers: ['Content-Type', 'Authorization']
        max_age: 3600

注意事项 #

• 注销时要同时删除本地存储的session ID，并调用后端的logout接口销毁服务器端会话。
• 生产环境建议开启HTTPS，将cookie_secure设为true，提升安全性。
• 可定期刷新会话，比如每次用户操作时调用后端接口更新会话有效期，避免会话中途过期。

内容的提问来源于stack exchange，提问作者zenke