如何防止纯PHP"记住我"Cookie产生的无用Token堆积问题？

嘿，这个场景我太熟悉了——隐私/隐身模式的会话隔离机制确实会导致你的系统生成大量无人使用的僵尸Token，平白占用数据库空间。给你几个实用的解决思路，按落地难度排序：

1. 给每个用户设置Token数量上限 #

最直接的办法是限制单个用户能保留的有效Token总数，比如最多允许5-10个（可以根据你的多设备需求灵活调整）。当用户在新设备（或隐身窗口）登录生成新Token时：

• 先查询该用户当前有效Token的数量
• 如果已达上限，就删除最旧的或者**最近最少使用（LRU）**的Token
• 再插入新的Token记录

示例PHP代码片段：

// 假设用户ID是$userId，新Token是$newToken，过期时间$expiresAt
$maxTokensPerUser = 10;

// 统计当前有效Token数
$countStmt = $pdo->prepare("SELECT COUNT(*) FROM remember_tokens WHERE user_id = ? AND expires_at > NOW()");
$countStmt->execute([$userId]);
$tokenCount = $countStmt->fetchColumn();

if ($tokenCount >= $maxTokensPerUser) {
    // 删除最旧的有效Token
    $deleteStmt = $pdo->prepare("DELETE FROM remember_tokens WHERE user_id = ? AND expires_at > NOW() ORDER BY created_at ASC LIMIT 1");
    $deleteStmt->execute([$userId]);
}

// 插入新Token
$insertStmt = $pdo->prepare("INSERT INTO remember_tokens (user_id, token, expires_at) VALUES (?, ?, ?)");
$insertStmt->execute([$userId, $newToken, $expiresAt]);

2. 定期自动清理过期Token #

不要等Token自然过期后一直留在数据库里，用定时任务主动清理失效记录：

• 写一个简单的PHP清理脚本，执行删除过期Token的SQL：

<?php
$pdo = new PDO('mysql:host=localhost;dbname=your_db', 'user', 'pass');
$pdo->exec("DELETE FROM remember_tokens WHERE expires_at < NOW()");
?>

• 用系统的Cron任务（Linux）或者任务计划程序（Windows）定期运行这个脚本，比如每天凌晨跑一次。这样能及时释放数据库空间，就算隐身模式生成一堆Token，过期后很快会被清掉。

3. 优化隐私模式下的Token策略 #

虽然没法100%精准识别所有浏览器的隐私模式，但可以通过一些特征做优化：

• 检测到隐私模式时，不生成长期"记住我"Token，改用短期会话Cookie（比如有效期1小时）
• 在登录页提示用户："隐私模式下无法保存登录状态，请切换至正常窗口使用"
• 利用浏览器的navigator.storage API判断是否处于隐私模式（部分主流浏览器支持），但注意这个方法有兼容性限制

4. 让用户主动管理登录设备 #

在用户中心添加"已登录设备"管理功能：

• 展示用户所有有效Token对应的设备信息（生成Token时可以记录用户代理、IP归属地等标识）
• 允许用户手动删除不需要的设备Token
• 用户主动登出某个设备时，同步删除对应的Token记录

额外优化建议 #

• 给remember_tokens表的user_id和expires_at字段添加索引，提升查询和删除操作的性能
• Token存储优先保证安全性，不要为了节省空间随意缩短哈希值长度

内容的提问来源于stack exchange，提问作者Vojthas