如何设置Laravel登录持久化功能，实现记住我功能？

本文共计942个文字，预计阅读时间需要4分钟。

Laravel 的记住我功能依赖于数据库中 `users` 表的 `remember_token` 字段。如果该字段为 `NULL` 或未正确写入，选择记住我将无效。Laravel 不会自动创建或迁移这个字段——它仅在执行 `php artisan make:auth`（旧版）或手动添加字段时存在。

实操建议：

• 检查 users 表是否有 remember_token 字段，类型应为 varchar(100)，允许 NULL
• 如果没有，新建迁移：php artisan make:migration add_remember_token_to_users_table，并在 up() 中添加：$table->rememberToken();
• 确保登录逻辑调用的是 Auth::attempt([...], $request->filled('remember'))，而不是硬编码 true 或漏掉第二个参数

登录后 Cookie 没有持久化，关浏览器就登出

“记住我”生效的前提是 Laravel 正确设置了长期有效的 remember_web_* Cookie，而它受 session.lifetime 和 remember_me_seconds 两个配置共同影响——很多人只改了前者，忘了后者。

实操建议：

• 确认 config/auth.php 中 'guards' => ['web' => [...]] 下的 'remember' => true 已启用（默认开启）
• 检查 config/auth.php 的 'remember_me_seconds' 值，例如设为 31536000（1年），不能为 0 或负数
• 确保 APP_KEY 在部署前后一致，否则 Cookie 签名失效，服务端拒绝解析 remember_token
• 开发时若用 localhost 测试，注意 Chrome 98+ 对 localhost 的 SameSite 默认策略变更，可在 config/session.php 中设 'same_site' => 'lax' 或 null（慎用于生产）

用户登出后 remember_token 没清空，存在越权风险

Laravel 默认在 Auth::logout() 时**不会**自动清空数据库里的 remember_token，这意味着即使用户主动退出，之前生成的“记住我”凭证仍可凭 Cookie 继续登录——这是典型的安全疏漏。

实操建议：

• 登出逻辑必须显式重置：Auth::user()->update(['remember_token' => null])
• 更稳妥的做法是覆盖 LogoutController 的 logout() 方法，在调用 parent::logout($request) 前先清 token
• 如果用了自定义守卫或 API 登录，注意 Auth::guard('api')->logout() 不处理 Web 的 remember token，需单独清理

多设备登录时“记住我” Token 被覆盖，老设备意外下线

Laravel 的 Auth::attempt() 在启用 “记住我” 时，每次成功都会用新值覆盖 users.remember_token。这意味着用户在手机登录后，电脑上的“记住我”会立即失效——这不是 bug，是设计如此，但常被误认为异常。

实操建议：

• 如需支持多设备长期登录，必须自行实现 Token 表（如 remember_tokens），关联用户 ID + 设备指纹 + 过期时间，不再依赖单字段
• 简单折中方案：只在首次登录且无有效 remember_token 时才写入，后续登录跳过更新（需自行判断逻辑，Laravel 不提供钩子）
• 注意 remember_token 是明文写入 Cookie 的 base64 编码字符串，不要在日志或前端暴露它

真正麻烦的不是加开关，而是 token 生命周期管理、多设备冲突和登出清理这三块——它们不报错，但一出问题就是越权或体验断裂，而且很难从日志里直接看出根源。