不能直接查 session 表判断在线人数，因 last_activity 滞后、GC 不定时、多标签共享 session_id、并发瓶颈；应使用 Redis 以 user:online:{id} 存储带 TTL 的轻量标记，配合心跳刷新与 SCAN 统计。
用户在线状态不能靠 session 表直接查——Laravel 默认文件或数据库驱动的 session 无实时过期通知，且存在延迟、不一致、并发写入等问题。真正可行的方案是：用 Redis 单独维护一个轻量级在线状态标记，配合心跳机制更新，而非依赖 session 生命周期。
为什么不能直接查 session 表判断在线人数
即使你把 session 存在数据库里，session 表里的 last_activity 字段也不可靠：
-
last_activity只在每次请求时更新，但用户关闭浏览器后不会主动销毁 session，得等gc_maxlifetime（默认 1440 秒）之后才可能被清理 - 数据库 session 的 GC 是概率性触发，不是定时任务，实际过期滞后严重
- 多个 tab 共享同一 session_id，但你无法区分“用户开了 3 个页面”还是“3 个不同用户”
- 高并发下频繁读写
session表会成为瓶颈，尤其用 MySQL 时
用 Redis 维护 user:online:{id} 并设置 TTL
核心思路：用户登录后，在 Redis 写入一个带过期时间的 key；每次用户有操作（如访问受保护路由），刷新该 key 的 TTL；后台用 KEYS user:online:* 或更优的 SCAN 统计数量。
win可用的mysql指令skill
下载
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
- 推荐 TTL 设为
300（5 分钟），比 session 默认 lifetime 短，确保“离开即下线”更及时 - key 命名用
user:online:{id}，避免和其它业务 key 冲突；不要用session_id作主键，因为一个用户可能多设备登录 - 刷新动作建议放在中间件里，比如
EnsureUserOnline，对auth后的请求统一 touch - 注意：Redis 的
EXPIRE不会自动续期，必须显式调用EXPIRE或用SETEX替代SET
if (Auth::check()) {
$userId = Auth::id();
Redis::setex("user:online:{$userId}", 300, time());
}
如何准确统计「当前在线用户数」
别用 KEYS user:online:*——生产环境会阻塞 Redis；改用 SCAN 游标分批扫描，再用 PHP 去重计数（因为同一用户多端登录会产生多个 key，但你要的是「人头数」，不是「连接数」）：
- 如果只要「活跃用户数」（即最近 5 分钟内有操作），直接
SCAN+count()即可，无需去重 - 如果要「去重后的在线用户数」，需提取所有 key 中的
{id}部分，丢进array_unique() - 高频统计建议加缓存，比如每 30 秒用 Laravel Task 跑一次并写入
cache()->put('online_user_count', $count, 30) - 注意 Redis cluster 下
SCAN不能跨 slot，若用了集群，应改用按用户 ID 分片 + 记录在线状态到 Hash 结构（如online_usershash，field 为 user_id，value 为时间戳）
$count = 0;
$cursor = 0;
do {
[$cursor, $keys] = Redis::scan($cursor, 'MATCH', 'user:online:*', 'COUNT', 100);
$count += count($keys);
} while ($cursor != 0);
return $count;
前端保活与后端心跳协同设计
纯靠后端请求刷新不够：用户开着页面但长时间没操作，会误判下线。需要前后端配合维持活跃信号：
- 前端用
setInterval每 120 秒发一次轻量 API（如/api/heartbeat），只做Redis::expire(..., 300)，不查 DB - API 必须校验
Authorizationheader 或 session，防止被刷 - 页面 visibilitychange 事件监听：切到后台时暂停 heartbeat，回到前台立即补发一次，避免假掉线
- 退出登录时，务必执行
Redis::del("user:online:{$userId}")，否则会残留“僵尸在线”
真正的难点不在写代码，而在于定义清楚「什么算在线」：是「有未过期 session」，还是「最近 N 秒有任意交互」？前者宽松易实现，后者精准但需前后端约定好心跳节奏和容错逻辑。别让「在线」变成一个模糊指标。
