Laravel中Session Lifetime配置疑问：活跃未过期，闲置却过期

默认会话行为说明 #

你配置的SESSION_LIFETIME=1在Laravel里默认代表会话空闲超时时间——它是从用户最后一次和服务器交互（比如请求控制器）的时刻开始计时，而非会话创建时刻。所以当你持续操作时，每一次请求都会刷新会话的「最后活跃时间」，会话自然不会在1分钟后失效；只有当你停止操作、没有新请求时，才会触发闲置超时，这是框架的默认设计，完全符合预期。

关于绝对超时的疑问解答 #

你看到的「会话从创建时刻计时，即便有活动也会过期」的描述，指的是绝对会话超时，这不是Laravel的默认行为，需要额外自定义实现。默认的会话机制优先保障用户体验，避免用户在操作过程中被强制登出，所以采用的是空闲超时逻辑。

实现绝对会话超时的步骤 #

如果你的业务场景确实需要绝对超时（不管用户是否活跃，会话创建后固定时间必须失效），可以按以下方式实现：

1. 存储会话创建时间
   在App\Providers\AppServiceProvider的boot方法中添加逻辑，首次创建会话时记录时间戳：

use Illuminate\Support\Facades\Session;

public function boot()
{
    if (!Session::has('session_created_at')) {
        Session::put('session_created_at', now()->timestamp);
    }
}

2. 创建自定义校验中间件
   生成一个中间件CheckAbsoluteSessionTimeout，内容如下：

namespace App\Http\Middleware;

use Closure;
use Illuminate\Support\Facades\Session;

class CheckAbsoluteSessionTimeout
{
    public function handle($request, Closure $next)
    {
        $createdAt = Session::get('session_created_at');
        // 把配置的分钟数转换为秒数
        $absoluteTimeout = config('session.lifetime') * 60;

        if (now()->timestamp - $createdAt > $absoluteTimeout) {
            Session::flush();
            return redirect('/login')->with('error', '会话已过期，请重新登录');
        }

        return $next($request);
    }
}

3. 注册中间件
   打开app/Http/Kernel.php，将上述中间件添加到web中间件组中，确保每次Web请求都会触发校验：

protected $middlewareGroups = [
    'web' => [
        // 其他中间件...
        \App\Http\Middleware\CheckAbsoluteSessionTimeout::class,
    ],
];

注意事项 #

• SESSION_LIFETIME的单位是分钟，所以转换为秒时需要乘以60；
• 绝对超时更适合对安全性要求极高的场景，比如金融类系统，普通业务场景建议保留默认的空闲超时逻辑，避免影响用户体验。

内容的提问来源于stack exchange，提问作者lauwis