Rails Session Store + Redis：能否为Redis会话设TTL且不设置Cookie过期？

完全可以实现你要的效果：给Redis里的会话数据设置TTL自动过期，同时让浏览器端使用会话Cookie（不设置过期时间，仅存于内存，关闭浏览器就失效，不会写入磁盘），以此降低会话复用的风险。

核心逻辑 #

Rails里，会话存储的后端TTL（Redis侧）和前端Cookie的过期规则是完全分离的：

• Redis侧的TTL负责自动清理服务器端的过期会话数据，避免数据冗余
• Cookie的expire_after设为nil时，浏览器会将其视为会话Cookie，不持久化到磁盘，关闭浏览器即失效

具体配置（以Redis会话存储为例） #

如果你用的是Rails官方推荐的redis-rails gem（这是最常见的Redis会话存储方案，如果你说的"Active Record Session Store"是表述混淆的话），配置步骤如下：

1. 添加Gem依赖
   在Gemfile里加入：

gem 'redis-rails'

2. 配置会话存储
   修改config/initializers/session_store.rb：

Rails.application.config.session_store :redis_store,
  servers: {
    host: 'localhost',
    port: 6379,
    db: 0,
    expires_in: 3600 # 这里设置Redis会话数据的TTL，单位秒，比如1小时
  },
  expire_after: nil, # 关键：让Cookie变成会话Cookie，不设置过期时间
  key: '_your_app_session',
  secure: Rails.env.production?, # 生产环境必须开启，确保Cookie仅通过HTTPS传输
  httponly: true, # 禁止JS访问Cookie，防范XSS攻击
  same_site: :lax # 降低CSRF风险

如果你确实需要用Active Record Session Store结合Redis #

如果你的需求是用Active Record管理会话（存在数据库），同时用Redis做缓存或TTL控制，那需要额外处理：

• 给session表添加expires_at字段，记录会话过期时间
• 用Redis缓存会话数据时，给缓存条目设置TTL
• 同时保持expire_after: nil，让Cookie还是会话Cookie
• 定期清理数据库里的过期会话（比如用Sidekiq Cron或Rails内置的定时任务）

为什么这样能降低会话复用风险 #

• 会话Cookie只存在浏览器内存中，关闭浏览器就消失，不会被存到磁盘，减少了被盗取后复用的可能性
• Redis侧的TTL确保即使Cookie被盗，服务器端的会话数据在到期后会被自动清理，攻击者无法长期利用该会话

注意点 #

• 务必开启httponly和secure（生产环境），这是基础的会话安全配置
• Redis的TTL时长要平衡用户体验和安全性，比如设置1-2小时是比较常见的选择
• 如果需要让用户长期保持登录，建议单独做"记住我"功能（用独立的持久化Token，设置更长的TTL但有严格的验证逻辑），不要延长会话Cookie的有效期

内容的提问来源于stack exchange，提问作者TeejMonster