未添加记住我复选框的Laravel项目为何为部分用户生成remember_me token

可能的产生原因 #

• 自定义登录逻辑隐式开启
  如果你项目存在非前端表单的登录入口，比如第三方OAuth登录、后台管理员代登录、API免密登录逻辑，只要调用Auth::login($user, true)、Auth::attempt($credentials, true)这类方法时第二个参数传了true，不管前端是否传递remember参数，Laravel都会自动生成remember_token存入用户表。很多开发者复制样板登录代码时会忽略修改这个默认参数，导致零散生成token。
• 密码重置逻辑自动生成
  Laravel内置的密码重置流程中，用户成功完成密码重置后，会自动调用setRememberToken()方法生成新的remember_token写入用户表，这个行为和remember me功能是否开启完全独立，属于框架默认逻辑，也是绝大多数这类场景的核心原因。你可以核对有token的用户是否都有过密码重置记录，比例匹配即可确认。
• 构造请求主动触发
  即便前端没有展示remember me复选框，也无法阻止攻击者手动构造登录请求，主动携带remember=true参数。Laravel默认的登录逻辑会自动读取该请求参数，只要值为真就会生成对应token，这类情况对应的用户通常有被暴力破解密码的日志记录。
• 历史数据/手动操作残留
  如果项目早期测试阶段开过remember me功能、做过用户数据批量导入、后台手动修改过用户信息，都可能残留非业务逻辑产生的remember_token记录。

内容的提问来源于stack exchange，提问作者Inigo