Android多用户登录应用如何实现类PHP的会话管理功能

一、对齐PHP会话机制的端侧实现逻辑 #

PHP会话的核心逻辑是服务端持久化存储会话状态、客户端仅存储不透明的会话唯一标识、每次请求自动携带标识完成鉴权，Android端没有内置这套机制，按以下逻辑实现即可完全对齐：

• 会话标识流转：用户账号密码校验通过后，由服务端生成全局唯一的会话token（作用完全等价于PHPSESSID）返回给端侧，端侧不要明文存储，使用EncryptedSharedPreferences持久化，避免root环境下会话标识被窃取。
• 请求自动携带逻辑：基于OkHttp/Retrofit添加全局请求拦截器，所有需要鉴权的接口发起请求时，自动从存储中读取当前激活状态的会话token，按约定放到请求头（可以直接复用PHP默认的Cookie头格式Cookie: PHPSESSID={token}，也可以放到自定义的Authorization头中），和PHP浏览器自动携带Cookie的逻辑完全一致。
• 会话生命周期统一管控：在响应拦截器中统一处理接口返回的401、会话过期状态码，自动清除本地对应的失效会话数据，跳转至登录页，和PHP会话过期后强制重新登录的行为对齐。
• 角色权限拦截：会话数据中额外存储当前用户的角色标记（admin/client），在页面路由跳转、敏感接口发起前做本地前置校验，比如admin专属的用户管理接口，发起前先判断当前激活会话的角色，非admin角色直接拦截，无需等待服务端返回。

二、多用户同时登录的会话隔离方案 #

要实现同设备多账号登录、会话状态互不干扰，核心是放弃全局单份会话存储的设计，给每个登录用户分配独立的会话存储空间，具体实现如下：

• 按用户维度拆分存储：每个用户首次在设备上登录成功后，以用户唯一uid作为隔离主键，单独存储一份完整的会话数据，数据结构包含token、角色标记、会话过期时间、用户基础信息，新用户登录不会覆盖已有用户的会话数据。核心数据结构参考：

// 单用户独立会话实体
data class UserSession(
    val uid: String, // 用户全局唯一ID，作为会话隔离的主键
    val token: String, // 会话唯一标识
    val role: String, // 角色类型：admin/client
    val expireAt: Long, // 会话过期时间戳
    val basicInfo: User // 用户基础信息
)

// 持久化层存储结构：以uid为key存储所有已登录用户的会话
private val sessionStore = mutableMapOf<String, UserSession>()

• 激活会话单独标记：单独持久化一个字段记录当前前台正在使用的用户uid，所有请求鉴权、权限校验、用户信息读取逻辑，都只读取该uid对应的会话数据；切换账号时仅需要修改这个激活uid字段的值，即可直接切换到对应已登录用户的会话状态，无需用户重复输入账号密码登录。
• 会话生命周期独立管控：单个用户触发退出登录、会话过期逻辑时，仅删除sessionStore中对应该uid的会话条目，其他已登录用户的会话数据完全不受影响。比如普通用户A退出登录，不会影响设备上已登录的管理员账号、普通用户B的会话状态。
• 特殊场景适配：如果应用内嵌WebView，需要为不同用户的会话独立配置Cookie存储，切换激活用户时同步替换WebView上下文中存储的对应会话Cookie，避免H5页面串号；如果应用存在多进程组件，不要使用内存静态变量缓存会话数据，统一走加密持久化存储读写，避免跨进程读不到会话状态。

踩坑提示：不要用全局静态单例存储当前会话数据，应用被系统回收后台进程后静态变量会被清空，恢复页面时会出现会话丢失的问题；不要用同一个公共key反复覆盖存储会话token，一旦切换账号的逻辑写错，很容易出现会话串号的问题。

内容的提问来源于stack exchange，提问作者user_11std