Laravel Session过期后laravel_session与XSRF-TOKEN Cookie未自动消失的原因及解决方案

首先得把这件事的本质说清楚：Laravel的会话过期是服务器端的逻辑判断，而浏览器里的Cookie是否留存是客户端的存储规则，这两者本来就不是强绑定的：

• laravel_session Cookie默认是「会话Cookie」（expire_on_close默认值为true），浏览器只会在关闭标签页/浏览器时才删除它。服务器端会话过期后，只是不再认可这个Cookie里的session ID对应的会话数据，但Cookie本身还会留在浏览器里。
• XSRF-TOKEN Cookie同理，它的有效期默认也是会话级的，生成和刷新逻辑相对独立，不会自动跟着服务器端会话过期而被浏览器清除。

针对这个问题，有几种方案可以让Cookie在会话过期后自动消失，你可以根据需求选择：

1. 让Session Cookie的过期时间和服务器端生命周期同步 #

修改config/session.php配置文件：

• 将expire_on_close设置为false，这样Cookie会拥有明确的过期时间，不再依赖浏览器关闭动作。
• 调整cookie数组里的expires值，和你的lifetime保持一致（比如lifetime设为1分钟，就把expires设为60秒）。

示例配置片段：

return [
    // ...
    'lifetime' => 1,
    'expire_on_close' => false,
    // ...
    'cookie' => [
        'name' => 'laravel_session',
        'path' => '/',
        'domain' => env('SESSION_DOMAIN'),
        'secure' => env('SESSION_SECURE_COOKIE'),
        'httponly' => true,
        'same_site' => 'lax',
        'expires' => 60, // 和lifetime的分钟数转成秒保持一致
    ],
    // ...
];

这样设置后，浏览器会在Cookie到期时自动删除它，和服务器端会话过期时间完全同步。

2. 同步XSRF-TOKEN的过期时间 #

XSRF-TOKEN通常是通过StartSession中间件或登录逻辑生成的，你可以在登录成功后手动设置它的过期时间，和session保持一致：

在你的登录控制器方法里添加如下代码：

return response()->json(['message' => '登录成功'])
    ->withCookie(cookie()->forever('XSRF-TOKEN', csrf_token(), 1)); // 最后一个参数是分钟数，和session lifetime一致

或者自定义一个中间件，在每次请求时检查会话是否有效，如果无效就清除XSRF-TOKEN Cookie：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;

class ClearExpiredCsrfToken
{
    public function handle(Request $request, Closure $next)
    {
        $response = $next($request);
        
        // 如果会话已过期，清除XSRF-TOKEN Cookie
        if (!auth()->check() && $request->hasCookie('XSRF-TOKEN')) {
            $response->withoutCookie('XSRF-TOKEN');
        }
        
        return $response;
    }
}

记得把这个中间件注册到app/Http/Kernel.php的web或api中间件组里。

3. 前端主动清除Cookie（最及时） #

服务器端会话过期后，前端第一次请求会返回401未认证状态，这时候可以在前端代码里监听这个状态，主动清除laravel_session和XSRF-TOKEN Cookie：

比如在Axios的响应拦截器里添加：

axios.interceptors.response.use(
    response => response,
    error => {
        if (error.response.status === 401) {
            // 清除两个Cookie
            document.cookie = "laravel_session=; path=/; expires=Thu, 01 Jan 1970 00:00:00 UTC";
            document.cookie = "XSRF-TOKEN=; path=/; expires=Thu, 01 Jan 1970 00:00:00 UTC";
            // 这里还可以加上跳转到登录页等操作
        }
        return Promise.reject(error);
    }
);

这种方式能在会话过期后立即清除Cookie，避免残留。

内容的提问来源于stack exchange，提问作者Dima Kambalin