diff --git a/core/session.py b/core/session.py
index e3c1159..886a401 100644
--- a/core/session.py
+++ b/core/session.py
@@ -22,6 +22,11 @@ _SIGNER_KWARGS: dict[str, Any] = {'key_derivation': 'hmac', 'digest_method': has
 
 SESSION_KEY = 'site_uid'
 
+# 会话 Cookie 名与有效期（秒）：签发侧（登录写 Cookie）与解析侧（校验签发时间）
+# 共用这一处定义，避免两处各写一个 7 天、日后慢慢漂移。
+COOKIE_NAME = 'session'
+SESSION_MAX_AGE = 7 * 86400
+
 
 @lru_cache(maxsize=8)
 def _serializer(secret: str) -> URLSafeTimedSerializer:
@@ -41,10 +46,11 @@ def dumps(secret: str, session: dict[str, Any]) -> str:
 def loads(secret: str, value: str, max_age: int | None = None) -> dict[str, Any] | None:
     """校验签名并解出会话字典；无效 / 被篡改 / 超龄返回 None。
 
-    ``max_age=None``（默认）不校验签发时间——与本站既有行为一致：会话有效期由
-    Cookie 自身的 max_age（登录时 7 天，见 web.routers.register._SESSION_MAX_AGE）
-    与库中 login_seq 顶号校验共同约束，服务端不叠加第二层独立过期判定；
-    传入秒数即启用 itsdangerous 的签名时间戳校验。
+    本函数是通用工具：``max_age=None``（默认）不校验签发时间。**生产请求路径
+    由 web.deps._parse_cookie 传入 SESSION_MAX_AGE 启用过期**——只靠 Cookie 的
+    max_age 是不够的：那只是浏览器行为，被保存、复制或从日志里捞出来的旧 Cookie
+    依然能通过签名校验，服务端不判就等于登录态永不过期。传入秒数即启用
+    itsdangerous 的签名时间戳校验。
     """
     if not value:
         return None
diff --git a/tests/test_deps.py b/tests/test_deps.py
index d18ac83..fce6169 100644
--- a/tests/test_deps.py
+++ b/tests/test_deps.py
@@ -72,6 +72,26 @@ async def test_forged_cookie_rejected(site):
     assert await current_user('not-a-valid-cookie') is None
 
 
+async def test_expired_cookie_rejected(site, monkeypatch):
+    """超龄会话 Cookie 由**服务端**拒绝（不只是浏览器层面的 max_age）。
+
+    Cookie 的 max_age 只是浏览器行为：被保存/复制的旧 Cookie 仍带着有效签名，
+    服务端不校验签发时间就等于登录态永不过期。
+
+    构造方式：用 monkeypatch.context() 把时钟拨回 SESSION_MAX_AGE 之前签发
+    （itsdangerous 的签名时间戳取自 dumps 时刻），再以当前时间解析。
+    必须用 context 而非 monkeypatch.undo()——后者会连带撤销 site fixture 的设置。
+    """
+    past = time.time() - cs.SESSION_MAX_AGE - 60
+    with monkeypatch.context() as m:
+        m.setattr(time, 'time', lambda: past)
+        stale = _cookie(26, 5)
+    assert await current_user(stale) is None, '超龄会话必须被服务端拒绝'
+
+    fresh = await current_user(_cookie(26, 5))
+    assert fresh is not None and fresh.id == 26, '有效期内不受影响'
+
+
 async def test_require_login_raises(site):
     with pytest.raises(AppError) as ei:
         await require_login(None)
diff --git a/web/deps.py b/web/deps.py
index 5c95ea5..df39e4f 100644
--- a/web/deps.py
+++ b/web/deps.py
@@ -3,6 +3,8 @@
 
 与 auth_system 的语义对齐（共用同一 Cookie、同一站点库）：
 - 会话 Cookie 经 core.session 解码（Flask 兼容签名），密钥同源
+- 过期：签发时间超过 core.session.SESSION_MAX_AGE 视为失效（服务端把关，
+  不依赖浏览器是否还留着 Cookie）
 - 封禁账号（status 0/2）：按未登录处理
 - 顶号校验：会话内的 `site_uid_seq` 必须与库中 `login_seq` 一致，否则视为失效
 - 剩余次数/账本预扣属付费流程，由 web.billing 承担（此处只做身份解析）
@@ -16,7 +18,7 @@ from core import repo
 from core import session as sess
 from web.errors import AppError
 
-_SESSION_COOKIE = 'session'
+_SESSION_COOKIE = sess.COOKIE_NAME
 
 
 def secret_key() -> str:
@@ -42,7 +44,9 @@ class SiteUser:
 
 
 def _parse_cookie(session_cookie: str | None) -> dict[str, Any] | None:
-    return sess.loads(secret_key(), session_cookie or '')
+    # 服务端叠加签发时间校验（SESSION_MAX_AGE）：Cookie 自身的 max_age 只约束
+    # 浏览器，被存下来的旧 Cookie 仍能通过签名校验，故过期必须由服务端把关。
+    return sess.loads(secret_key(), session_cookie or '', max_age=sess.SESSION_MAX_AGE)
 
 
 async def current_user(
diff --git a/web/routers/auth.py b/web/routers/auth.py
index a41e542..839cd5a 100644
--- a/web/routers/auth.py
+++ b/web/routers/auth.py
@@ -37,8 +37,8 @@ from web.serializers import user_public as _user_public
 
 router = APIRouter()
 
-SESSION_COOKIE = 'session'
-_SESSION_MAX_AGE = 7 * 86400
+SESSION_COOKIE = cs.COOKIE_NAME
+_SESSION_MAX_AGE = cs.SESSION_MAX_AGE
 
 
 
diff --git a/web/routers/register.py b/web/routers/register.py
index d2d1cc3..6c34cf5 100644
--- a/web/routers/register.py
+++ b/web/routers/register.py
@@ -37,8 +37,8 @@ from web.serializers import user_public as _user_public
 
 router = APIRouter()
 
-SESSION_COOKIE = 'session'
-_SESSION_MAX_AGE = 7 * 86400
+SESSION_COOKIE = cs.COOKIE_NAME
+_SESSION_MAX_AGE = cs.SESSION_MAX_AGE