Ну я правильно понимаю, что по истечению этого срока, куки автоматически очистится, и пользователю опять нужно будет входить на сайт? Так зачем вообще задавать ему какой то срок? По идеи оно же и должно быть вечным, пока пользователь не выйдет
А откуда приходит этот user в функцию serializeUser? И как оно понимает когда включать serializeUser а когда deserializeUser. Где срабатывают эти методы?