静态缓存不能用于缓存用户登录状态，因其面向匿名公共页面；登录态应由Redis托管Session实现，并需校验IP、User-Agent等多维信息，推荐用Redis Hash优化字段级更新。

静态缓存（如 `html` 页面缓存）本身**不能也不应该用于缓存用户登录状态**。这是根本性误区——静态缓存是面向**匿名、公共、无状态页面**的，比如首页、文章详情页等不依赖用户身份的内容。一旦用它缓存含用户信息的页面（如“欢迎，张三”、“退出按钮”），就会导致缓存污染：A 用户登录后生成的 HTML 被 B 用户直接看到，造成严重安全与体验问题。 真正用于持久化登录状态的，是 **Session + 缓存后端（Redis）**，不是静态缓存。下面分三块讲清楚怎么做、为什么这么做、以及关键避坑点：

用 Redis 托管 Session，而不是静态 HTML

ThinkPHP 6.1 默认 Session 存在 PHP 文件或内存里，不可靠、难共享、无法校验 IP 或主动失效。必须切换为 Redis 驱动：

• 安装 phpredis 扩展（不是 Predis），执行 php -m | grep redis 确认输出含 redis
• 在 config/session.php 中设：'type' => 'redis'，并配置 'redis' => [...] 子数组，包含 host/port/password/database
• 务必显式设置 'password' => null（即使为空），不可留空字符串
• 关闭 PHP 原生会话机制：确保 session.use_trans_sid = 0 和 session.auto_start = 0（在 php.ini 或运行时禁用）

登录态校验要带上下文，不能只靠 token

光存 session_id 不够安全。每次请求需校验多维信息，避免 token 泄露或盗用后长期有效：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

• 登录成功后，写入 Redis 的 session 数据里应包含：user_id、login_ip、user_agent_hash、expire_time
• 中间件中读取 session 前，必须比对当前请求的 $request->ip() 和存储的 login_ip，不一致则拒绝并清理缓存
• 登出操作必须调用 Session::destroy()，并手动 Cache::delete('sess:'.$sessionId)，防止 key 残留

进阶：用 Redis Hash 实现字段级更新（推荐）

默认 Redis Session 用 STRING 存整个序列化数据，改一次 last_login_time 就得全量读写。换成 HASH 可单独更新字段，更高效也更可控：

• 创建自定义驱动 app/extend/Driver/Session/RedisHash.php，重写 write/read/destroy 方法，用 hSet、hGet 操作 sess:xxx 这个 hash key
• 在 config/session.php 中设 'type' => 'redis_hash'
• 这样后续就能原子更新 last_access_time 或标记 is_kicked_out=1，无需反序列化整段数据

不复杂但容易忽略。静态缓存和登录态是两套逻辑，混用等于埋雷。