PHP中勾选“记住我”后如何保持会话长期活跃（关闭浏览器仍有效）

问题现状 #

• 勾选「记住我」后，邮箱和密码会存入有效期1个月的Cookie，但用户再次访问时，会话未保持活跃，仅能自动填充登录表单
• 运行环境：Cloudflare + 虚拟主机
• 已尝试在php.ini、.htaccess、functions.php中配置会话生命周期参数，但关闭浏览器后会话最多维持2小时，无法达到1个月的预期时长

已配置的代码 #

.htaccess / php.ini 配置 #

php_value session.cookie_lifetime 2629800;
php_value session.gc_maxlifetime 2629800;

functions.php 配置 #

$expire = 60*60*24*30; // 预期1个月有效期
ini_set('session.gc_maxlifetime', $expire);
session_start();

登录处理函数 loginUser #

function loginUser($email, $password, $rememberme)
{
    $mysqli = connect();
    $email = trim($email);
    $password = trim($password);
    
    if ($email == "" || $password == "") {
        return 'Both fields are required';
    }

    $email = filter_var($email, FILTER_SANITIZE_EMAIL);
    $password = filter_var($password, FILTER_SANITIZE_SPECIAL_CHARS);
    
    $sql = "SELECT * FROM users WHERE email = ? LIMIT 1";
    $stmt = $mysqli->prepare($sql);
    $stmt->bind_param("s", $email);
    $stmt->execute();
    $result = $stmt->get_result();
    $data = $result->fetch_assoc();

    if ($data == NULL) {
        return 'The email does not exist, sign up to enter';
    }

    if (password_verify($password, $data["password"]) == FALSE) {
        return 'The password is incorrect, please check and try again';
    } else {
        $user_id = $data['user_id'];
        $_SESSION['auth_user_id'] = $user_id;
        $_SESSION["user"] = $email;
        $_SESSION["pass"] = $password;
        $_SESSION["username"] = $data['username'];
        $_SESSION["verify"] = $data['verify'];
        $_SESSION["profile"] = $data['profileImage'];
        $_SESSION["id"] = $data['user_id'];
        $_SESSION["vip"] = $data['vip'];

        setcookie('user_id', $data['user_id'], time() + 60 * 60 * 24 * 30, '/');

        if ($rememberme) {
            $cookie_name = 'Remember_US';
            $cookie_value = json_encode(array('lemail' => $email, 'lpassword' => $password));
            $cookie_expire = time() + (60 * 60 * 24 * 30);
            setcookie($cookie_name, encrypt($cookie_value), $cookie_expire, '/', null, true, true);
        }
        header("location: index.php");
        exit();
    }
}

问题排查与修复方案 #

1. 修正配置语法错误 #

• .htaccess中php_value指令后不能加尾部分号，否则配置会失效，修正为：

  php_value session.cookie_lifetime 2629800
  php_value session.gc_maxlifetime 2629800
  

• functions.php中需在session_start()前补充session.cookie_lifetime的设置，同时开启安全属性：

  $expire = 60*60*24*30;
  ini_set('session.gc_maxlifetime', $expire);
  ini_set('session.cookie_lifetime', $expire);
  ini_set('session.cookie_secure', true); // HTTPS环境下启用
  ini_set('session.cookie_httponly', true); // 防止XSS窃取Cookie
  session_start();
  

2. 解决Cloudflare缓存冲突 #

• 在Cloudflare控制台的「缓存规则」中添加规则，将登录页、用户首页等核心页面设置为「不缓存」
• 检查Cloudflare的「Cookie缓存策略」，确保默认会话Cookie（PHPSESSID）不被缓存

3. 规避虚拟主机的会话垃圾回收限制 #

部分虚拟主机会强制覆盖session.gc_maxlifetime为2小时（7200秒），可通过自定义会话存储目录解决：

// 在session_start()前添加
$session_dir = __DIR__ . '/private_sessions';
if (!is_dir($session_dir)) mkdir($session_dir, 0700);
ini_set('session.save_path', $session_dir);

确保自定义目录权限为0700，避免其他用户访问。

4. 完善会话恢复逻辑 #

当前代码仅在主动登录时创建会话，未处理从「记住我」Cookie自动恢复会话的逻辑，需在页面初始化时添加：

if (!isset($_SESSION['auth_user_id']) && isset($_COOKIE['Remember_US'])) {
    $cookie_value = decrypt($_COOKIE['Remember_US']);
    $user_data = json_decode($cookie_value, true);
    if (!empty($user_data['lemail']) && !empty($user_data['lpassword'])) {
        // 自动调用登录函数恢复会话
        loginUser($user_data['lemail'], $user_data['lpassword'], true);
    }
}

注意：移除代码中$_SESSION["pass"] = $password的逻辑，明文密码存入会话存在严重安全风险，密码仅需用于登录验证，无需持久化存储。

5. 验证Cookie属性 #

通过浏览器开发者工具的「Application」标签，检查PHPSESSID Cookie的有效期是否为1个月，确认path为/、Secure/HttpOnly属性是否正确开启。

内容的提问来源于stack exchange，提问作者Dev.Fra