必须换掉file驱动，否则高并发下必现CPU飙升、登录丢失、负载均衡失效；Redis最稳妥但需同时配SESSION_DRIVER=redis和REDIS_CLIENT（phpredis/predis），并验证Redis连接、中间件、跨域及HTTPS配置。
高并发下必须换掉默认的 file 驱动，否则 CPU 突然飙升、登录态频繁丢失、负载均衡失效几乎是必然结果。Redis 是当前最稳妥的选择，但光改 SESSION_DRIVER=redis 远不够，真正出问题的环节往往藏在配置链路和运行细节里。
确认 Redis 连接真正生效，而非静默回退到 file
Laravel 在 Redis 连接失败时不会报错，而是自动 fallback 到 file 驱动——你看到“配置改了”，其实 session 仍在写本地文件，线上出问题才暴露。
- 先运行
php artisan tinker，执行Redis::connection()->ping()，确认 PHP 能连上 Redis 服务 - 检查
.env中REDIS_HOST是否正确（Docker 环境别写localhost，应填容器名如redis） - 运行
php artisan config:clear清缓存，避免旧配置残留；再确认config/session.php里没硬编码'driver' => 'file' - 用
redis-cli keys 'laravel_session:*' | wc -l查 Redis 中是否有 session key，这是最直接的验证方式
驱动与客户端必须匹配，尤其 Laravel 9+ 默认切 phpredis
只配 SESSION_DRIVER=redis 不够，还必须指定客户端类型，否则会报 Class "Predis\Client" not found 或静默失败。
-
.env中同时设置：SESSION_DRIVER=redisREDIS_CLIENT=phpredis（若装的是 phpredis 扩展）
或REDIS_CLIENT=predis（若用composer require predis/predis） - 确认 PHP 已启用对应扩展：
php -m | grep redis应有输出；若无，需安装并启用 phpredis - 若用 Laravel Octane，必须用
phpredis并开启连接池，predis不支持复用，高并发下极易触发ERR max number of clients reached
生命周期与 Cookie 配置要分清，避免闪退登出
lifetime 和 expire_on_close 组合不当，会导致用户一刷新就登出，尤其是管理后台场景。
-
expire_on_close => true时，lifetime完全失效，浏览器关闭即销毁 session——生产环境慎用 -
lifetime单位是分钟，Redis 中 TTL 是秒，Laravel 会自动 ×60；用redis-cli ttl xxx查到的数值是秒，别误判为配置未生效 -
SESSION_COOKIE_LIFETIME控制 Cookie 本身过期时间，和lifetime是两回事，需配合设置（例如设为 7200 秒 = 2 小时） - HTTPS 环境下必须设
SESSION_SECURE_COOKIE=true；非 HTTPS 测试环境不设或设为 false，否则浏览器拒存 Cookie
跨子域、中间件顺序、key 操作这些细节不能漏
看似边缘，实则高频踩坑点，一不留神就让 session 表现异常。
- 子域名共享 session（如
app.example.com和api.example.com）：必须设SESSION_DOMAIN=.example.com（开头带点），填example.com或留空都不行 - Session 依赖
StartSession中间件挂载；api路由组默认不含该中间件，若要用 session 必须手动加到中间件组中 -
session()->forget('cart.items')不生效？因为forget()只支持一级 key，点号路径是pull()和get()的特性；应改用session()->pull('cart.items')或先取再删 - 避免存 Eloquent 模型实例，只存
user_id或显式$user->only(['id', 'name'])，防止序列化膨胀和反序列化风险
