在 Symfony 应用中，仅设置 cookie-lifetime 不足以确保会话真正过期；必须同步配置服务端会话垃圾回收（GC）机制，否则过期 Cookie 仍可能被验证通过，带来安全隐患。
在 symfony 应用中，仅设置 `cookie-lifetime` 不足以确保会话真正过期；必须同步配置服务端会话垃圾回收（gc）机制，否则过期 cookie 仍可能被验证通过，带来安全隐患。
Symfony 默认使用 PHP 原生会话（session.storage.factory.native），其生命周期由客户端 Cookie 过期时间与服务端会话数据存活时间共同决定，二者缺一不可：
-
cookie-lifetime: 120（单位：秒）仅控制浏览器中 session cookie 的有效期（即关闭浏览器后是否保留），但不删除服务端的会话文件或数据库记录； - 真正决定服务端会话何时被销毁的是 PHP 的
session.gc_maxlifetime—— 它定义了会话数据自最后访问起多少秒后可被垃圾回收器清理。
因此，仅修改 framework.yaml 中的 cookie-lifetime 是不充分且不安全的。你还需要确保服务端 GC 机制生效并匹配业务需求。
✅ 正确做法如下：
-
统一生命周期策略：让
cookie-lifetime与gc_maxlifetime保持一致（例如均为 120 秒）； -
显式配置
gc_maxlifetime（推荐在php.ini或运行时设置）：
// 在 public/index.php 开头或服务容器扩展中设置（Symfony 6+ 推荐方式）
ini_set('session.gc_maxlifetime', 120);
或在 framework.yaml 中通过 php_ini 配置（需支持）：
Browser Session Manager
下载
使用 Playwright 为 jimeng.jianying.com 管理浏览器会话，导入 cookies/localStorage 以自动化视频生成工作流，支持图片上传等功能
# config/packages/framework.yaml
framework:
session:
handler_id: null
cookie_secure: auto
cookie_samesite: lax
storage_factory_id: session.storage.factory.native
cookie-lifetime: 120
# 注意：Symfony 不直接暴露 gc_maxlifetime 配置项，
# 必须通过 PHP 层或自定义 SessionHandler 实现
-
启用并调优 GC 概率（可选但建议）：
PHP 默认session.gc_probability = 1,session.gc_divisor = 1000（即 0.1% 概率触发 GC）。生产环境可适度提高可靠性：
ini_set('session.gc_probability', 5);
ini_set('session.gc_divisor', 100); // 5% 触发概率
⚠️ 重要注意事项：
- 若使用数据库/Redis 存储会话（如
session.handler_id: 'session.handler.pdo'），GC 行为由对应 Handler 实现，不再依赖 PHP 原生 GC，此时需查阅对应 Handler 文档（如 PDO Session Handler 会自动清理过期记录）； -
cookie-lifetime: 0表示“会话 Cookie”，浏览器关闭即失效；设为正整数则生成持久化 Cookie，务必配合服务端清理； - 对于高安全要求场景（如银行类应用），建议结合
security.firewalls.main.remember_me的短期 Token + 强制重新认证机制，而非单纯延长 Session。
总结：Session 安全 = 客户端 Cookie 控制 + 服务端数据及时清理。cookie-lifetime 只是前端防线，gc_maxlifetime 才是后端兜底关键。两者协同配置，才能真正实现“用户离开即失效”的安全预期。
