如何设置htaccess/htpasswd登录会话有效期？移动端频繁登出问题

我运营一个新闻通讯网站，通过.htaccess和.htpasswd设置用户名密码，让订阅者访问特定托管内容页面。原本希望登录会话有效期设为365天，但目前移动端浏览器约8小时就会登出，桌面端则不会。我的.htaccess代码如下：

<FilesMatch "feed.html">
    AuthName "Member Only"
    AuthType Basic
    AuthUserFile /home/j1pcvh2gabtn/public_html/.htpasswd
    ExpiresActive On
    ExpiresByType text/html "access plus 3 days"
    require valid-user
</FilesMatch>

我研究过.htaccess和.htpasswd的过期设置，但没找到类似问题，特来求助：ExpiresActive和ExpiresByType似乎对移动端浏览器的会话时长无影响，请问原因是什么？

分析与解决方案 #

为什么Expires设置无效？ #

ExpiresActive和ExpiresByType是控制静态资源缓存有效期的指令，作用是告诉浏览器要缓存feed.html这类页面多久，和HTTP Basic认证的会话完全无关。它们不会影响浏览器保存认证凭证的时长，所以对移动端的会话失效问题没有任何作用。

移动端与桌面端差异的核心原因 #

HTTP Basic认证的会话有效期，本质由浏览器的凭证存储策略决定，服务器无法直接控制：

• 桌面端浏览器默认会长期保存Basic认证的凭证（除非用户手动清除或重启浏览器）；
• 移动端浏览器出于安全考量，对后台闲置或关闭后的凭证保存有严格限制，多数会在8-24小时后自动清除，或者在浏览器完全退出时删除凭证；
• 部分移动端浏览器的隐私模式、自动清除浏览数据功能，也会加速凭证过期。

可行的解决办法 #

• 改用Cookie会话认证（推荐）：放弃HTTP Basic认证，通过后端代码实现登录逻辑，生成带有指定有效期的Cookie（比如设置Max-Age=31536000对应365天），用户访问时验证Cookie有效性。这种方式能完全由服务器控制会话时长，不受浏览器差异影响。
• 引导用户开启“记住密码”：如果必须保留Basic认证，可以提醒用户在移动端浏览器中开启“记住密码”功能，部分浏览器会延长凭证保存时间，但无法保证所有设备都能达到365天的有效期。
• 检查用户端隐私设置：建议用户关闭移动端浏览器的“自动清除浏览数据”“无痕模式”等选项，减少凭证被主动清除的概率，但这属于用户端操作，无法强制统一。

内容的提问来源于stack exchange，提问作者Caesarion