Laravel 8.x Vapor 会话注销失效解决方法

Laravel 8.x 在 AWS Vapor 部署时，因 Redis 会话未彻底清除，导致登出后 Cookie 可被重放复用登录；本地环境无此问题，根源在于 `session()->invalidate()` 未同步清理 Redis 中的会话数据，需配合 `Session::flush()` 彻底销毁服务端会话。

在 Laravel 8.x 中，标准登出逻辑（如官方文档推荐的 Auth::logout() + session()->invalidate() + session()->regenerateToken()）在大多数本地环境（如 Apache + PHP-FPM）下表现正常，但在基于 AWS Vapor 的无服务器部署中却存在关键缺陷：会话 Cookie 虽被客户端清除或失效标记，但对应的 Redis 会话数据未被立即、可靠地删除。

这是因为 Vapor 使用 Laravel 的 redis 会话驱动，而 session()->invalidate() 仅将当前会话 ID 标记为无效并生成新 ID，并不主动从 Redis 中 DEL 对应的 session key。当用户导出并重新注入旧 Cookie（含原 laravel_session 值）后，Laravel 仍能从 Redis 中读取该未被清理的会话数据，并结合认证守卫（Guard）恢复用户登录状态——这本质上构成了一个会话重放漏洞。

✅ 正确且安全的登出实现应确保服务端会话数据被彻底销毁。推荐使用以下代码替代原有逻辑：

use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Session;

// ✅ 推荐：强制清除会话存储 + 认证状态
Auth::logout();
Session::flush(); // ← 关键！直接清空 Redis 中当前会话所有数据
$request->session()->regenerateToken(); // 可选：更新 CSRF Token 防止跨站请求伪造

⚠️ 注意事项：

• Session::flush() 会删除当前会话在 Redis 中的全部数据（包括 auth:api、login_web_xxx 等），比 invalidate() 更彻底；
• 不要仅依赖 session()->invalidate() —— 它在分布式/无状态环境（如 Vapor）中无法保证原子性清理；
• 若项目启用了多守卫（如 web 和 api），Auth::logout() 默认仅登出当前守卫，如需全局登出，请显式调用 Auth::guard('web')->logout() 或遍历守卫；
• Vapor 环境默认启用 SESSION_LIFETIME 和自动 session GC，但 GC 是异步且不可靠的，不能作为登出的安全保障。

此外，为增强纵深防御，建议补充以下配置：

1. 缩短会话有效期（.env）：

   SESSION_LIFETIME=30  # 单位：分钟，避免长期有效会话残留

2. 启用会话绑定（可选）：在 config/session.php 中设置：

   'secure' => env('SESSION_SECURE_COOKIE', true),  // 强制 HTTPS
   'http_only' => true,
   'same_site' => 'lax',

   并确保 Vapor 配置中已启用 force_https: true。

3. 登出后重定向并清除客户端 Cookie（前端辅助）：

   // 登出请求后，手动删除 Cookie（兼容性兜底）
   document.cookie = "laravel_session=; expires=Thu, 01 Jan 1970 00:00:00 UTC; path=/;";

总结：在 Vapor 等云原生部署场景中，Auth::logout() 必须与 Session::flush() 配合使用，才能真正切断服务端会话生命周期。这是 Laravel 会话机制在分布式缓存下的必要补全操作，而非“过度设计”——安全登出的本质，是让旧会话在服务端不可读、不可恢复、不可重放。