PHP实现“不保存登录”功能 调整会话为关闭浏览器即失效

这个问题的核心是要区分会话生效的两个组成部分：客户端存储会话标识的Cookie、服务端存储会话数据的TTL规则，不需要销毁重建已经初始化的会话，只要在用户提交登录结果、确认未勾选“记住我”时，同步修改两端配置即可：

• 第一步：修改客户端会话Cookie为临时级别
  浏览器判定Cookie是否随关闭自动销毁的唯一标准，是Cookie是否设置了Expires/Max-Age属性。你初始化阶段给会话Cookie设了1年有效期，此时需要主动重新下发一次同名、同值、同作用域的会话Cookie，但是不要携带任何过期时间参数——浏览器收到后会自动把原来存的长期Cookie覆盖成内存级临时Cookie，关闭所有浏览器窗口时就会自动删除，下次打开站点不会再携带这个会话标识。
  注意一定要主动重新下发Cookie，不能只修改全局配置，否则用户本地已经缓存的1年有效期旧Cookie不会自动更新。
• 第二步：同步修改服务端会话的过期规则
  只改Cookie会导致服务端存储的会话数据仍然按1年TTL保留，浪费存储空间还会提升会话固定攻击的风险。在调整Cookie的同时，调用框架自带的会话TTL修改接口，把当前会话的过期时间设为0即可——几乎所有主流Web框架中，会话TTL设为0的默认语义就是“跟随客户端临时Cookie的生命周期，Cookie失效时服务端同步回收会话数据”。

参考实现逻辑（通用伪代码） #

// 登录账号密码校验通过后执行逻辑
if (!request.body.get("remember_me")) {
  // 重新下发临时会话Cookie，覆盖原有长期Cookie
  setCookie(
    name: SESSION_COOKIE_NAME,
    value: currentSession.getId(),
    path: SESSION_COOKIE_PATH,
    domain: SESSION_COOKIE_DOMAIN,
    httpOnly: true,
    secure: request.isHttps(),
    sameSite: "Lax"
    // 省略expires、maxAge参数，默认即为临时Cookie
  )
  // 调整服务端当前会话的TTL
  currentSession.setTimeToLive(0)
}

避坑提示 #

不要采用“销毁当前会话再新建会话”的方案实现需求，这种方式需要你重新写入已经初始化好的user_id等会话数据，处理不当很容易出现会话竞态问题，导致用户刚登录就被判定为未登录。直接修改现有会话的Cookie属性和服务端TTL是性能最高、兼容性最好的方案。

内容的提问来源于stack exchange，提问作者zzmaster