- SESSION_LIFETIME=5 di .env (sebelumnya 120 menit idle) - User::sessionTokenIsAlive() kini cek umur sesi (file mtime / DB last_activity) vs masa hidup, bukan sekadar ada/tidaknya file — user yang sesinya habis langsung bisa login lagi tanpa nunggu GC atau Paksa Logout - 2 test baru (sesi kadaluarsa → boleh login; sesi fresh → tetap terkunci)