会话超时主因是客户端 cookie 生命周期未正确配置。需使 session.cookie_lifetime 与 session.gc_maxlifetime 一致，推荐通过 php.ini 全局设置、ini_set 动态控制或 session_set_cookie_params 精细配置，并用开发者工具验证 expires 值。
会话超时太短，核心问题往往不是框架或代码逻辑，而是 客户端 Cookie 的生命周期没设对。即使服务端 session 数据还活着，只要浏览器里的 session cookie 过期或被清除，用户就立刻掉线——这正是“明明没关浏览器却突然登出”的常见原因。
为什么只改 PHP 的 gc_maxlifetime 不够？
session.gc_maxlifetime 控制的是服务端数据最多保留多久；而 session.cookie_lifetime 决定浏览器里那个 session ID cookie 能活多久。两者必须一致，否则必然脱节：
- cookie_lifetime = 0 → 关闭浏览器即失效（默认行为）
- cookie_lifetime = 1800 → Cookie 带 Expires 时间戳，30 分钟后自动过期
- gc_maxlifetime 小于 cookie_lifetime → 服务端先删数据，用户还在刷页面却登录失效
- cookie_lifetime 小于 gc_maxlifetime → Cookie 先消失，用户刷新就变未登录状态
正确设置 cookie_lifetime 的三种方式
推荐按优先级顺序使用：
- 全局生效（生产环境首选）：编辑 php.ini，设 session.cookie_lifetime = 7200（2 小时），同时确认 session.gc_maxlifetime = 7200，然后重启 PHP-FPM 或 Web 服务
-
项目级动态控制（开发/共享主机适用）：在入口文件 index.php 或初始化脚本中，session_start() 之前插入：
ini_set('session.cookie_lifetime', 7200);ini_set('session.gc_maxlifetime', 7200); -
带安全标志的精细控制（HTTPS 环境必选）：用
session_set_cookie_params()显式声明域、路径和 Secure/HttpOnly：session_set_cookie_params(7200, '/', '', true, true);
第四个参数为 true 表示仅 HTTPS 传输，第五个为 true 表示 HttpOnly，再调用session_start()
验证是否生效的小技巧
打开浏览器开发者工具 → Application（或 Storage）→ Cookies，找到你的站点域名下的 PHPSESSID（或其他 session_name）。查看其 Expires/Max-Age 字段值是否与你设置的秒数一致。若显示 “Session”，说明 cookie_lifetime 仍是 0；若显示具体时间点，则已成功配置。
