Yii2中非用户主动退出的会话销毁日志埋点位置咨询

在AccessControl::beforeAction的denyCallback节点埋点会误记未登录访客，核心原因是这个位置属于权限校验的末端逻辑，到执行这一步时，框架已经完成了会话加载、用户身份判定流程，只能拿到「当前用户是游客、无权限访问目标接口」的最终结果，根本无法区分是首次访问的未登录访客，还是之前有有效登录态但会话异常失效的用户。

以下是几个无歧义的埋点位置，不会产生误报：

• 第一个埋点：自定义Session组件，重写会话加载逻辑，捕获「会话cookie存在但服务端会话数据丢失」的场景
  不要直接修改vendor内的核心代码，在app/components下新建继承自yii\web\Session的调试类，重写openSession()方法：当检测到请求中携带当前系统对应的会话cookie（即Yii::$app->session->name对应的值非空），但父类openSession()返回false、或会话启动后$_SESSION中不存在Yii用户认证存储的__id键时，调用Yii::info()记录日志，日志需要包含客户端IP、请求URL、传入的会话ID、User-Agent，标记事件类型为会话文件缺失/会话加载失败。
  组件替换配置参考：

  // config/web.php 组件配置段
  'session' => [
      'class' => 'app\components\DebugSession',
      'savePath' => '@runtime/sessions', // 保持原有会话存储配置不变
  ],
  

• 第二个埋点：重写User组件的身份恢复逻辑，捕获「会话存在但用户身份校验失败」的场景
  同样自定义继承自yii\web\User的调试类，重写renewAuthStatus()方法：这个方法是框架从当前会话中恢复已登录用户身份的核心入口，当方法执行后判定用户身份为null（即恢复失败），且请求携带了有效会话cookie时，记录日志，额外补充调用栈信息（用debug_backtrace(DEBUG_BACKTRACE_IGNORE_ARGS, 6)截取前6层调用即可，避免日志体积过大）。这个节点不会触发未登录访客的误记——首次访问的访客本身没有会话cookie，会直接跳过这个异常分支。
• 第三个埋点：重写User组件的logout()方法，区分主动/被动退出
  给logout()方法增加自定义入参$isActiveLogout = false，所有用户主动点击退出按钮触发的退出逻辑，调用时手动传入$isActiveLogout = true；其余所有框架自动调用logout的场景（包括身份校验失败、会话过期、csrf校验异常触发的退出）都走默认false值，只要是$isActiveLogout = false触发的退出行为，就记录对应日志，包含触发退出前的用户ID（如果能取到）、当前请求路由。

排查补充提示 #

日志埋点上线后，可以同步临时记录PHP会话gc配置参数：session.gc_probability、session.gc_divisor、session.gc_maxlifetime，以及session存储目录的权限配置，这类随机登出问题很大概率是会话gc触发概率配置过高、存储目录权限偶发异常导致PHP进程读取会话文件失败，直接判定会话失效。

内容的提问来源于stack exchange，提问作者Tanoro