Laravel多应用共享会话时频繁登出问题排查求助

针对Laravel 5.6和Laravel 9跨子域会话共享失败、互相登出的问题，按以下优先级排查：

1. 统一加密算法（Cipher）配置 #

Laravel 5.6默认加密算法为AES-256-CBC，而Laravel 9默认是AES-256-GCM，即使*APP_KEY*相同，不同算法的加密内容无法互相解析，会导致会话失效。

• 操作：
  • 打开Laravel 9的config/app.php，将*cipher*值改为AES-256-CBC，与5.6保持一致：

    'cipher' => 'AES-256-CBC',
    

  • 确保两个应用的*APP_KEY*完全相同，且*APP_ENV*环境一致（均为production或均为local）。

2. 统一Sessions表的User_ID字段类型 #

Laravel 5.6没有foreignId()方法，若你在5.6中用unsignedInteger('user_id')创建字段，而Laravel 9的foreignId()默认生成unsignedBigInteger类型，字段类型不匹配会导致用户ID无法跨应用识别：

• 操作：
  • 检查两个应用的sessions表结构，确保user_id字段类型完全一致（推荐统一为unsignedBigInteger）。
  • 若需修改，执行对应迁移调整字段类型：

    // Laravel 5.6中修改字段类型
    Schema::table('sessions', function ($table) {
        $table->unsignedBigInteger('user_id')->nullable()->index()->change();
    });
    

3. 统一会话序列化方式 #

Laravel 5.6默认用PHP原生serialize()序列化会话payload，Laravel 9若使用不同的序列化方式（如json），会导致无法解析对方的会话数据：

• 操作：
  • Laravel 9的config/session.php中，确保序列化方式设置为php：

    'serialize' => 'php',
    

  • Laravel 5.6无需额外配置（默认就是PHP原生序列化）。

4. 统一Cookie的SameSite属性 #

Laravel 9默认设置SameSite=lax，而Laravel 5.6默认未配置该属性，浏览器可能因SameSite规则不跨域携带Cookie：

• 操作：
  • 在Laravel 5.6的config/session.php中添加SameSite配置：

    'same_site' => 'lax',
    

  • Laravel 9确保config/session.php中对应配置与5.6一致：

    'same_site' => env('SESSION_SAME_SITE', 'lax'),
    

  • 若为HTTPS环境，可考虑设置为none，但需同时开启SESSION_SECURE_COOKIE=true。

5. 关闭会话的UA/IP验证 #

若两个应用开启了不同的UA或IP验证规则，会导致跨应用请求时会话被判定为无效：

• 操作：
  • 两个应用的config/session.php中，统一关闭UA和IP验证：

    'verify_ua' => false,
    // Laravel 9中若有verify_ip配置，同样设为false
    'verify_ip' => false,
    

6. 统一登录时的会话处理逻辑 #

Laravel默认登录时会调用regenerate()生成新会话ID，若其中一个应用修改了该逻辑，会导致会话冲突：

• 操作：
  • 检查两个应用的登录代码，确保登录时均调用Auth::login($user)或Auth::loginUsingId($id)，且未手动修改会话生成逻辑。
  • 若需自定义登录逻辑，确保两个应用的会话更新行为一致（如是否调用regenerate()、regenerateToken()）。

排查完成后，清空浏览器Cookie和数据库中的sessions表数据，重新测试跨应用登录。

内容的提问来源于stack exchange，提问作者Jalib Khan