Laravel SESSION_LIFETIME设为30分钟时用户未到会话过期时间提前登出

核心高概率原因 #

• PHP原生会话垃圾回收配置优先级高于Laravel配置
  如果你使用的是默认file会话驱动，PHP底层的session.gc_maxlifetime配置会控制会话文件的最大存活时间，默认值为1440秒（24分钟），远小于你设置的30分钟会话有效期。当会话超过24分钟没有活动时，PHP的垃圾回收机制会直接删除对应的会话文件，导致Laravel读取不到会话数据，用户提前被判定为未认证。
  你设置20分钟有效期时无异常，是因为20分钟小于24分钟，Laravel自身的会话过期逻辑会早于PHP gc触发，不会出现gc提前删除会话的情况。
• Okta第三方令牌有效期短于Laravel会话有效期
  你的自定义中间件CheckOktaTokenForWeb会校验Okta颁发的认证令牌，若Okta端设置的access token默认有效期为27分钟左右，刚好比你设置的30分钟会话有效期短3分钟，就会出现令牌先过期，中间件校验失败主动登出用户的情况。
  你设置20分钟会话有效期时，会话会先于Okta令牌过期，所以不会触发该问题。

其他可能原因 #

• 会话cookie有效期配置错误：config/session.php中的cookie_lifetime配置如果小于30分钟，会导致会话cookie提前失效，浏览器不再携带会话ID请求后端。
• 非共享会话的多实例部署：如果应用部署在多台服务器且没有配置共享会话（如database/redis驱动），后续请求落到其他没有存储对应会话的服务器上，会直接判定为未认证。
• 额外的会话清理逻辑：项目中存在自定义的会话清理定时任务、中间件逻辑，会主动删除存活超过25分钟左右的会话。

排查解决步骤 #

1. 校验PHP gc配置：执行命令php -i | grep session.gc_maxlifetime查看输出值，若小于1800（30分钟对应的秒数），修改php.ini中session.gc_maxlifetime = 1800，重启PHP服务后验证。
2. 核对Okta令牌有效期：登录Okta后台查看对应应用的access token过期时间配置，调整为大于等于30分钟，或者在中间件中增加令牌自动刷新逻辑。
3. 调整会话驱动：将SESSION_DRIVER从file改为database或者redis，由Laravel自身控制会话生命周期，避免PHP原生gc的干扰。
4. 核对Laravel会话配置：检查config/session.php中lifetime、cookie_lifetime配置，确认lifetime正确读取.env的SESSION_LIFETIME参数，cookie_lifetime设置为0（默认，浏览器关闭失效）或者大于等于30。

内容的提问来源于stack exchange，提问作者Fidan Jovanov