线上环境禁用file驱动，因其在高并发、NFS或容器中flock失效致session丢失；Cookie驱动受限于4KB且不可控；Redis是生产首选，需验证连接、扩展及中间件顺序。
线上环境别用 file 驱动——高并发下 session 丢失不是偶发，而是必然。核心问题不在“能不能用”，而在“是否可控”：file 依赖文件系统锁，在 NFS、容器挂载路径或多个 PHP-FPM 进程争抢时，flock() 失效概率极高，导致 session()->put() 看似成功，实际数据未落盘。Cookie 驱动看似轻量，但把敏感状态明文（哪怕加密）塞进客户端，体积受限、易被篡改、无法主动销毁。Redis 是生产首选，它天然支持多节点共享、毫秒级读写、自动过期，且与 Laravel 的 SessionManager 集成成熟。
File 驱动只适合单机低流量开发
它把每个 session 存为独立文件，默认路径是 storage/framework/sessions。优点是零依赖、开箱即用；缺点也很直接：
- 并发写入时触发文件锁竞争，请求阻塞或覆盖写入，造成登录态随机失效
- NFS 或 Docker volume 挂载下 flock 不可靠，尤其在 Kubernetes 中常见静默失败
- 无法跨服务器共享，负载均衡后用户反复登录
- 无 TTL 自动清理机制，需靠定时脚本或手动清理，磁盘可能被撑爆
Cookie 驱动不等于“无服务端存储”，而是有硬伤
它把序列化后的 session 数据加密后存入浏览器 Cookie，服务端不存任何状态。表面省事，实则埋雷：
- 单个 Cookie 最大 4KB，稍存点用户基础信息（如权限数组、头像 URL）就超限
- 每次请求都携带完整 session 数据，增加网络开销，拖慢首屏
- 加密密钥一旦泄露或轮换，所有已发 Cookie 全部失效，无法灰度迁移
- 无法主动使某用户登出（比如管理员踢人），只能等过期或靠前端清除，不可控
Redis 驱动上线前必须验三件事
改配置不是改完 SESSION_DRIVER=redis 就完事。以下任一缺失都会导致 Laravel 静默 fallback 到 file，而你完全不知情：
- 连接参数正确性：确认 REDIS_HOST、REDIS_PORT、REDIS_PASSWORD（如有）在 .env 中全部配齐，且能被 config/database.php 中的 redis connection 正确引用
- PHP 扩展与包就绪：确保安装了 predis/predis 或启用 phpredis 扩展，并在 config/database.php 的 redis 配置块中匹配 driver 类型
- 中间件顺序无误：检查 app/Http/Kernel.php 中 StartSession::class 是否在路由中间件之前（通常在 $middlewareGroups['web'] 开头），否则 request()->session() 为 null
Session 数据要轻，轻到只留 ID 或截断字段
无论用哪种驱动，存什么比存在哪更重要。常见错误是直接存整个 Eloquent 模型：
- session(['user' => $user]) —— 序列化后含关系、访问器、连接句柄，体积翻倍，反序列化还可能触发 DB 查询
- session(['cart' => $cartCollection]) —— 若集合含模型，同样带出冗余上下文
正确做法是“按需拉取，不缓存状态”：
- 登录后只存 session(['user_id' => $user->id])，后续用 User::find(session('user_id')) 获取最新数据
- 若需快速展示昵称/头像，显式截断：session(['user_data' => $user->only(['id', 'name', 'avatar'])])
- 避免手动调用 session_start()，Laravel 已自动管理，重复调用会报 PHP 警告
