Laravel实现单用户仅单会话登录限制的技术求助

嘿，这个需求在需要严格账号管控的系统里太常见了！我给你一套完整的Laravel实现方案，从数据库字段到事件监听，一步步来，保证能满足你的要求：当用户已有活跃会话时，拒绝新登录，只有注销旧会话后才能重新登录。

1. 给用户表添加会话记录字段 #

首先我们需要在用户表中存储当前用户的活跃会话ID，这样才能判断账号是否已登录。用Laravel迁移来添加字段：

先创建迁移文件：

php artisan make:migration add_current_session_id_to_users_table

打开生成的迁移文件，修改up和down方法：

public function up()
{
    Schema::table('users', function (Blueprint $table) {
        $table->string('current_session_id')->nullable();
    });
}

public function down()
{
    Schema::table('users', function (Blueprint $table) {
        $table->dropColumn('current_session_id');
    });
}

运行迁移生效：

php artisan migrate

2. 登录成功后记录会话ID #

我们用Laravel的事件监听来处理登录后的会话记录，不用修改默认的登录控制器，更符合框架的优雅设计。

先创建登录事件监听器：

php artisan make:listener LogUserSession

打开app/Listeners/LogUserSession.php，编写处理逻辑：

namespace App\Listeners;

use Illuminate\Auth\Events\Login;
use Illuminate\Support\Facades\Session;

class LogUserSession
{
    public function handle(Login $event)
    {
        // 获取当前登录请求的会话ID
        $sessionId = Session::getId();
        
        // 更新用户表的会话ID字段
        $event->user->update([
            'current_session_id' => $sessionId
        ]);
    }
}

然后在app/Providers/EventServiceProvider.php里注册这个监听器，找到$listen数组添加：

protected $listen = [
    // 保留其他已有的事件监听
    \Illuminate\Auth\Events\Login::class => [
        \App\Listeners\LogUserSession::class,
    ],
];

3. 登录时检查是否存在活跃会话 #

接下来要在用户尝试登录时，验证该账号是否已有未注销的活跃会话。我们自定义一个验证规则来实现这个逻辑：

创建自定义验证规则：

php artisan make:rule UserHasActiveSession

打开app/Rules/UserHasActiveSession.php，编写验证逻辑：

namespace App\Rules;

use Illuminate\Contracts\Validation\Rule;
use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Session;

class UserHasActiveSession implements Rule
{
    public function passes($attribute, $value)
    {
        // 根据登录字段（这里用email，如果你用username就改成username）查找用户
        $user = Auth::getProvider()->retrieveByCredentials([
            'email' => $value
        ]);
        
        // 用户不存在的话，交给Laravel默认的登录验证处理
        if (!$user) {
            return true;
        }
        
        // 检查用户是否有活跃会话：存在会话ID且该会话在系统中有效
        if ($user->current_session_id && Session::exists($user->current_session_id)) {
            return false; // 存在活跃会话，验证不通过
        }
        
        return true;
    }

    public function message()
    {
        return '该账号已在其他设备登录，请先注销当前会话再尝试登录。';
    }
}

然后修改登录控制器（默认是app/Http/Controllers/Auth/LoginController.php），在validateLogin方法中添加我们的自定义规则：

protected function validateLogin(\Illuminate\Http\Request $request)
{
    $request->validate([
        $this->username() => ['required', 'string', new \App\Rules\UserHasActiveSession],
        'password' => ['required', 'string'],
    ]);
}

注：如果你的Laravel版本没有默认的validateLogin方法，可以直接在login方法中添加这段验证逻辑，或者重写该方法。

4. 注销时清空会话记录 #

最后，当用户注销登录时，要清空用户表中的会话ID，这样下次才能正常登录。同样用事件监听来处理：

创建注销事件监听器：

php artisan make:listener ClearUserSession

打开app/Listeners/ClearUserSession.php，编写处理逻辑：

namespace App\Listeners;

use Illuminate\Auth\Events\Logout;

class ClearUserSession
{
    public function handle(Logout $event)
    {
        // 清空用户的当前会话ID
        $event->user->update([
            'current_session_id' => null
        ]);
    }
}

在EventServiceProvider.php中注册这个监听器：

protected $listen = [
    // 保留其他已有的事件监听
    \Illuminate\Auth\Events\Logout::class => [
        \App\Listeners\ClearUserSession::class,
    ],
];

补充说明 #

• 如果用户的会话因超时自动过期，Session::exists($sessionId)会返回false，所以下次登录时验证会自动通过，无需额外处理。
• 如果你想更严谨，可以定时清理用户表中无效的会话ID，比如用Laravel的任务调度来定期检查并更新。

内容的提问来源于stack exchange，提问作者محمد محمد