已注销的Laravel8.x会话cookie可以重新用于登录

Question

我的应用程序构建在Laravel 8.x上，通过Vapor部署，并使用Redis作为会话驱动程序。

我注意到了这种奇怪的行为，如果你登录并复制cookie，然后注销并导入cookie并刷新页面，你就会重新登录。

以下是重新生产的步骤：

1. 在chrome中安装Cookie编辑器插件
2. 登录应用程序
3. 使用cookie编辑器插件并导出cookie
4. 注销应用程序
5. 使用cookie编辑器插件导入导出的cookie并刷新页面，您现在已经登录

我按照https://laravel.com/docs/8.x/authentication#logging-以实现注销功能，但这似乎不起作用？

Auth::logout();
$request->session()->invalidate();
$request->session()->regenerateToken();

我无法通过在Apache+PHP中本地运行的应用程序重新生成此行为，这种行为只在我的vapor部署实例上观察到？

你知道问题出在哪里吗？如何正确注销，使上一个会话中的cookie不能再次使用？

Answer 1

Auth::logout();
Session::flush();