Laravel实现单用户单设备登录的技术咨询及代码问题排查

1. 检测并阻止多端登录 #

核心思路是给用户绑定唯一活跃会话ID，每次请求验证会话合法性：

• 给users表添加current_session_id字段，存储当前有效的会话ID：

// 创建迁移文件
php artisan make:migration add_current_session_id_to_users_table

// 迁移文件内容
public function up()
{
    Schema::table('users', function (Blueprint $table) {
        $table->string('current_session_id')->nullable()->unique();
    });
}

public function down()
{
    Schema::table('users', function (Blueprint $table) {
        $table->dropColumn('current_session_id');
    });
}

• 在User模型中允许填充该字段：

protected $fillable = [
    // 其他字段...
    'current_session_id',
];

• 登录时校验：登录成功后，若用户已有活跃会话，直接销毁旧会话并绑定新会话：

// 在LoginController的authenticated方法中
protected function authenticated(Request $request, $user)
{
    $currentSessionId = $request->session()->getId();
    
    // 销毁旧会话记录
    if ($user->current_session_id && $user->current_session_id !== $currentSessionId) {
        \Illuminate\Support\Facades\Session::getHandler()->destroy($user->current_session_id);
    }
    
    // 更新用户当前会话ID
    $user->update(['current_session_id' => $currentSessionId]);
    
    return redirect()->intended($this->redirectPath());
}

2. 新设备登录时失效旧会话的最优方案 #

最优方案是销毁旧会话记录+全局中间件验证会话合法性，确保旧设备用户立即下线：

• 上述登录逻辑已包含销毁旧会话的代码，直接删除存储中的旧会话数据。
• 新增CheckActiveSession中间件，验证当前会话是否为用户绑定的有效会话：

// 创建中间件
php artisan make:middleware CheckActiveSession

// 中间件内容
public function handle(Request $request, Closure $next)
{
    if (auth()->check()) {
        $user = auth()->user();
        $currentSessionId = $request->session()->getId();
        
        // 会话不匹配则强制退出
        if ($user->current_session_id !== $currentSessionId) {
            auth()->logout();
            $request->session()->invalidate();
            $request->session()->regenerateToken();
            
            return redirect()->route('login')->withErrors(['msg' => '您的账号已在其他设备登录']);
        }
    }
    
    return $next($request);
}

• 将中间件注册到app/Http/Kernel.php的web中间件组：

protected $middlewareGroups = [
    'web' => [
        // 其他中间件...
        \App\Http\Middleware\CheckActiveSession::class,
    ],
];

3. 处理会话非活跃/过期场景 #

通过监听会话事件，自动清理用户的会话绑定：

• 创建会话过期事件监听器：

php artisan make:listener ClearUserSessionOnExpire --event="Illuminate\Session\Events\SessionExpired"

• 监听器内容：

public function handle(SessionExpired $event)
{
    $sessionId = $event->session->getId();
    // 清空绑定该会话的用户记录
    \App\Models\User::where('current_session_id', $sessionId)->update(['current_session_id' => null]);
}

• 在app/Providers/EventServiceProvider.php中注册事件与监听器：

protected $listen = [
    // 其他事件...
    \Illuminate\Session\Events\SessionExpired::class => [
        \App\Listeners\ClearUserSessionOnExpire::class,
    ],
];

• 用户主动退出时，同步清空会话绑定：

// 在LoginController的logout方法中
public function logout(Request $request)
{
    if (auth()->check()) {
        auth()->user()->update(['current_session_id' => null]);
    }
    
    auth()->logout();
    $request->session()->invalidate();
    $request->session()->regenerateToken();
    
    return redirect('/');
}

解决当前Login方法的403/双端在线问题 #

你的问题根源是：仅在登录时做了拦截，但未销毁旧会话，也未通过中间件持续验证会话合法性。按以下步骤修复：

1. 移除原有Login方法中返回403的逻辑，替换为上述踢旧会话+绑定新会话的逻辑。
2. 确保注册了CheckActiveSession中间件，每次请求都会验证会话有效性。
3. 补充用户退出时清空current_session_id的逻辑，避免旧会话残留。

修正后的LoginController核心代码示例：

namespace App\Http\Controllers\Auth;

use App\Http\Controllers\Controller;
use Illuminate\Foundation\Auth\AuthenticatesUsers;
use Illuminate\Http\Request;

class LoginController extends Controller
{
    use AuthenticatesUsers;

    protected $redirectTo = '/home';

    public function __construct()
    {
        $this->middleware('guest')->except('logout');
    }

    protected function authenticated(Request $request, $user)
    {
        $currentSessionId = $request->session()->getId();
        
        if ($user->current_session_id && $user->current_session_id !== $currentSessionId) {
            \Illuminate\Support\Facades\Session::getHandler()->destroy($user->current_session_id);
        }
        
        $user->update(['current_session_id' => $currentSessionId]);
        
        return redirect()->intended($this->redirectPath());
    }

    public function logout(Request $request)
    {
        if (auth()->check()) {
            auth()->user()->update(['current_session_id' => null]);
        }
        
        auth()->logout();
        $request->session()->invalidate();
        $request->session()->regenerateToken();
        
        return redirect('/');
    }
}

内容的提问来源于stack exchange，提问作者Murad Almadani