如何限制单用户同时登录会话数量？

一、能不能准确统计活跃会话？ #

可以实现，但依赖默认的文件会话存储会有问题——PHP的会话GC（垃圾回收）是随机触发的，不会立即清理过期会话，直接数会话文件数量会包含已经失效的会话，导致统计不准。解决办法是自己维护会话的活跃状态，不依赖默认GC的清理时机。

二、具体实现步骤 #

1. 自定义会话状态存储 #

不用依赖默认的文件会话，而是把每个用户的会话信息存在数据库（比如MySQL）里，表结构可以设计成：

2. 登录时的校验逻辑 #

用户登录时，先清理该用户的过期会话，再统计当前活跃会话数：

$maxAllowedSessions = 10;
$currentTime = time();
$userId = $_POST['user_id']; // 假设已通过身份验证

// 第一步：清理该用户的过期会话（超时1小时）
$pdo->exec("DELETE FROM user_sessions WHERE user_id = $userId AND last_active + 3600 <= $currentTime");

// 第二步：统计当前活跃会话数
$stmt = $pdo->query("SELECT COUNT(*) FROM user_sessions WHERE user_id = $userId AND last_active + 3600 > $currentTime");
$activeSessionCount = $stmt->fetchColumn();

// 第三步：判断是否达到上限
if ($activeSessionCount >= $maxAllowedSessions) {
    // 可选操作：拒绝登录，或者踢掉最早/最久未活跃的会话
    // 示例：踢掉最早的会话
    $stmt = $pdo->query("SELECT session_id FROM user_sessions WHERE user_id = $userId ORDER BY last_active ASC LIMIT 1");
    $oldSessionId = $stmt->fetchColumn();
    if ($oldSessionId) {
        // 删除数据库记录
        $pdo->exec("DELETE FROM user_sessions WHERE session_id = '$oldSessionId'");
        // 如果用文件会话，删除对应的会话文件
        $sessionFile = session_save_path() . '/sess_' . $oldSessionId;
        if (file_exists($sessionFile)) unlink($sessionFile);
    }
}

// 第四步：记录新会话
$newSessionId = session_id();
$pdo->exec("INSERT INTO user_sessions (user_id, session_id, last_active) VALUES ($userId, '$newSessionId', $currentTime)");

3. 维持会话活跃状态 #

在每个请求的入口文件（比如index.php）里，更新当前会话的最后活跃时间，确保会话状态实时：

if (isset($_SESSION['user_id'])) {
    $userId = $_SESSION['user_id'];
    $currentSessionId = session_id();
    $currentTime = time();
    $pdo->exec("UPDATE user_sessions SET last_active = $currentTime WHERE user_id = $userId AND session_id = '$currentSessionId'");
}

4. 定期清理冗余数据 #

除了登录时清理，还可以用Cron定时任务每天清理所有过期会话，避免数据库冗余：

# 每天凌晨2点清理过期会话
0 2 * * * php /path/to/your/cleanup_sessions.php

cleanup_sessions.php内容：

$pdo = new PDO('mysql:host=localhost;dbname=your_db', 'user', 'pass');
$currentTime = time();
$pdo->exec("DELETE FROM user_sessions WHERE last_active + 3600 <= $currentTime");

三、两种限制方案的对比 #

• 限制同时登录次数：适合需要严格管控并发在线设备的场景（比如付费会员防共享、企业内部系统），但需要额外维护会话状态，实现复杂度稍高。
• 限制指定时间内登录次数：比如24小时内100次，实现更简单（只需记录用户登录时间戳，统计时间范围内的数量），但无法真正限制同时在线的设备数，只能防范暴力登录或频繁登录行为。

内容的提问来源于stack exchange，提问作者pileup