Laravel Auth记住我功能异常：未传true参数仍保留会话

嘿，我来帮你理清这个容易混淆的点——你对"记住我"功能的认知有点偏差，咱们一步一步说清楚：

核心误解：普通登录也会保留会话（不是只有"记住我"才会） #

你觉得「只有传true给Auth::attempt()才会保留会话」，其实不对。咱们拆解两种登录的逻辑：

1. 普通登录（不传remember参数） #

当你调用Auth::attempt($userdata)时：

• Laravel会为用户创建一个普通会话，同时生成一个会话cookie（默认叫laravel_session）。
• 这个会话的有效期由config/session.php里的两个配置控制：
  • lifetime：默认120分钟（2小时），指会话在无用户活动的情况下多久过期。
  • expire_on_close：默认是false——划重点！这个配置意味着，即使你关闭浏览器，只要没超过lifetime的时长，再次打开浏览器访问站点时，会话依然有效。因为这个会话cookie是持久化存储的，不是那种关闭浏览器就消失的临时cookie。

这就是你关闭浏览器后访问/check还能得到true的原因：你的会话还没到过期时间，而且默认配置下浏览器关闭不会立刻销毁会话。

2. "记住我"功能的真正作用 #

当你传入true（Auth::attempt($userdata, true)）时：

• Laravel除了创建普通会话，还会额外生成一个长期的"记住我"cookie（默认命名是remember_web_*），有效期默认5年（可在config/auth.php的remember项修改）。
• 这个cookie的核心作用是：当你的普通会话过期（比如超过2小时没操作，或者手动登出销毁了会话），Laravel会自动通过这个"记住我"cookie重新验证用户，自动创建新的会话，让用户不用再输账号密码就能保持登录。

简单说：普通会话是"短期保持登录"，"记住我"是"会话过期后自动续期登录"。

验证你的预期的测试方法 #

如果你想验证「关闭浏览器后普通会话失效」的场景，可以这么做：

1. 打开config/session.php，把expire_on_close改成true。
2. 调用普通登录路由，然后关闭整个浏览器（不是只关标签页）。
3. 重新打开浏览器访问/check，此时Auth::check()就会返回false了。

另外，你也可以手动销毁会话测试：

Route::get('/logout', function(){
    Auth::logout(); // 销毁当前会话
});

调用这个路由后，访问/check会返回false；如果之前用了"记住我"登录，刷新页面后Laravel会自动通过"记住我"cookie重新登录，Auth::check()又会变回true。

最后纠正你的认知总结 #

• ❌ 错误认知：只有传true才会保留会话。
• ✅ 正确逻辑：普通登录也会保留会话，直到会话过期/被销毁；默认关闭浏览器不会立刻让会话失效。
• ✅ "记住我"的真实作用：会话过期后，自动帮用户重新创建会话，实现长期免登录。

内容的提问来源于stack exchange，提问作者King Rayhan