仿Facebook长效登录异常：用户被强制登出问题求助

看起来你在实现仿Facebook的长效登录功能时，遇到了部分用户被意外登出的棘手问题。我帮你梳理下代码里的几个潜在问题，这些大概率就是导致故障的核心原因：

1. 多Session记录导致Token校验错误 #

在checkToken函数里，你查询了某个用户的所有session记录，然后通过foreach循环覆盖$token1变量——最终只会保留最后一条session记录的Token。如果用户在多个设备（比如手机+电脑）登录过，当用非最后登录的设备访问时，Cookie里的Token和数据库里最后一条的Token不匹配，直接就会被强制登出。

修复方案： #

查询时直接同时匹配username和token，精准定位到对应用户当前的session记录：

public static function checkToken($conn) {
    if (isset($_COOKIE['token']) && isset($_COOKIE['username'])) {
        $username = $_COOKIE['username'];
        $token = $_COOKIE['token'];
        
        // 同时匹配用户名与Token，直接找到对应session
        $query = $conn->prepare("select * from session where username = ? and session = ?");
        $query->execute([$username, $token]);
        
        if ($query->rowCount() == 0) {
            // 无匹配记录，强制登出
            setcookie('token', null, time() - 3600);
            setcookie('username', null, time() - 3600);
            header("Location: /login");
            exit;
        }
        
        // 可选：校验用户代理（UA），提升账号安全性
        $row = $query->fetch(PDO::FETCH_ASSOC);
        if ($row['agent'] !== $_SERVER['HTTP_USER_AGENT']) {
            setcookie('token', null, time() - 3600);
            setcookie('username', null, time() - 3600);
            header("Location: /login");
            exit;
        }
    } else {
        setcookie('token', null, time() - 3600);
        setcookie('username', null, time() - 3600);
        header("Location: /login");
        exit;
    }
}

2. Cookie路径与域未明确设置 #

你在login函数调用setcookie时，没指定path和domain参数。默认情况下，Cookie仅在当前目录及子目录生效，如果用户访问网站的不同路径（比如从/login跳转到/dashboard），可能出现Cookie无法被读取的情况，触发校验失败登出。

修复方案： #

设置Cookie的path为/（全站生效），并根据你的域名配置domain，同时开启HttpOnly防止XSS攻击：

// 登录时设置Cookie
$cookieExpire = time() + (365 * 24 * 60 * 60);
// 替换yourdomain.com为你的实际域名，HTTPS环境请将倒数第二个参数设为true
setcookie('token', $token, $cookieExpire, '/', 'yourdomain.com', false, true);
setcookie('username', $username, $cookieExpire, '/', 'yourdomain.com', false, true);

3. 登录函数错误使用$_COOKIE['username'] #

登录逻辑里，你刚调用setcookie('username', $username, ...)就尝试读取$_COOKIE['username']——但Cookie是通过响应头发送给客户端的，要到下一次请求才会被客户端发回服务器，此时$_COOKIE['username']是空值，会导致$gettoken查询出错，可能重复插入session记录，引发后续校验异常。

修复方案： #

直接使用变量$user（或$username）查询session：

public static function login($conn) {
    $user = filter_var($_POST['username'], FILTER_SANITIZE_STRING);
    $pass = filter_var($_POST['password'], FILTER_SANITIZE_STRING);
    
    $query = $conn->prepare("select * from users where username= ? and password = ?");
    $query->execute([$user, $pass]);
    
    if ($query->rowCount() > 0) {
        $row = $query->fetch(PDO::FETCH_ASSOC);
        $username = $row['username'];
        
        $token = funcs::getToken(10);
        $cookieExpire = time() + (365 * 24 * 60 * 60);
        // 配置正确的Cookie参数
        setcookie('token', $token, $cookieExpire, '/', 'yourdomain.com', false, true);
        setcookie('username', $username, $cookieExpire, '/', 'yourdomain.com', false, true);
        
        // 使用$user变量查询，而非未生效的$_COOKIE['username']
        $gettoken = $conn->prepare("select * from session where username= ?");
        $gettoken->execute([$user]);
        
        if ($gettoken->rowCount() == 0) {
            $query1 = $conn->prepare("insert into session (username,session,agent)values(?,?,?)");
            $query1->execute([$user, $token, $_SERVER['HTTP_USER_AGENT']]);
        } else {
            // 可选：如果限制单设备登录，可在此更新现有session的Token与UA
            // $updateToken = $conn->prepare("update session set session = ?, agent = ? where username = ?");
            // $updateToken->execute([$token, $_SERVER['HTTP_USER_AGENT'], $user]);
        }
        
        header('Location: /index');
        exit;
    }
    return true;
}

其他可能的排查方向 #

• 浏览器清除Cookie：部分用户可能开启隐私模式，或设置了关闭浏览器时清除Cookie，导致Cookie失效；
• 服务器时间偏差：如果服务器时间与客户端时间差异过大，可能导致Cookie提前过期，检查服务器系统时间是否准确；
• Token生成不够随机：如果getToken(10)生成的Token重复率高，可能出现不同用户Token冲突，建议改用更安全的生成方式，比如bin2hex(random_bytes(16))生成32位随机Token。

内容的提问来源于stack exchange，提问作者Ezaldeen Ezaldeen