如何防止Django会话过期？设置SESSION_COOKIE_AGE仍自动登出

开发者阿泽

2026-5-22

解决用户登录后永久保持登录状态的问题

嘿，我之前也踩过这个坑！明明把SESSION_COOKIE_AGE设成了sys.maxint，结果用户还是会在12小时左右被踢回登录页，大概率是还有其他隐藏的配置或服务器限制在搞鬼，咱们一步步来排查解决：

先检查SESSION_EXPIRE_AT_BROWSER_CLOSE配置
这个参数优先级很高，如果它被设为True，哪怕你把SESSION_COOKIE_AGE拉到最大，用户关闭浏览器后会话就会失效，甚至有些浏览器在后台闲置一段时间也会触发类似的清理逻辑。一定要确保它的值是False：
```
SESSION_EXPIRE_AT_BROWSER_CLOSE = False
```
排查服务器端会话存储的过期清理机制
如果你的会话存在数据库（比如Django的django_session表）或者缓存里，可能有定时任务在自动清理“过期”会话。比如Django默认会在用户登录时更新会话的过期时间，但如果有自定义的定时任务（比如用Celery Beat）或者数据库层面的TTL策略，可能会错误地提前删除会话记录：
- 检查是否有类似clearsessions的命令被定期执行，如果有，调整它的执行频率或者确认清理逻辑是否只针对真正过期的会话。
- 如果用Redis存会话，检查Redis的key过期时间是否和SESSION_COOKIE_AGE一致，避免Redis自动删除会话key。
处理浏览器端的cookie限制
很多现代浏览器会自动清理长时间闲置的cookie，或者用户开启了隐私模式、自动清理浏览数据。这种情况下，我们可以通过前端交互来“续命”会话：
在后端添加一个中间件，每次用户发起请求（比如点击页面、提交表单）时，主动更新会话的过期时间。以Django为例，中间件可以这么写：
```
class SessionRefreshMiddleware:
    def __init__(self, get_response):
        self.get_response = get_response

    def __call__(self, request):
        if request.user.is_authenticated:
            # 标记会话已修改，让服务器重置过期时间
            request.session.modified = True
        response = self.get_response(request)
        return response
```
把这个中间件加到你的配置里，就能让用户每次操作都延长会话有效期，避免被浏览器自动清理。
检查反向代理/负载均衡的超时设置
如果你的网站用了Nginx、Apache这类代理服务器，它们的连接超时设置可能会间接影响会话。比如Nginx的proxy_read_timeout如果设得太短，可能会导致长连接断开，但这个情况一般不会刚好是12小时。不过还是建议确认下代理服务器的超时配置，确保不会提前终止会话相关的连接。
验证SESSION_COOKIE_SECURE和SESSION_COOKIE_DOMAIN配置
如果你的网站用了HTTPS，SESSION_COOKIE_SECURE设为True是正确的，但如果用户偶尔通过HTTP访问，cookie可能无法被正确保存。另外，SESSION_COOKIE_DOMAIN设置错误也可能导致cookie跨域无法持久化，要确保这个值和你的网站域名匹配。

按照这个顺序排查下来，应该能找到问题所在。最常见的原因就是SESSION_EXPIRE_AT_BROWSER_CLOSE没设对，或者会话存储的定时清理逻辑有问题。

内容的提问来源于stack exchange，提问作者Larry Martell