При значении duration = 0 не происходит авторизация.

[ast-ross]

При авторизации (Yii::app()->user->login($this->_identity, $duration)) если $duration = 0, появляются куки PHPSESSID и YII_CSRF_TOKEN, запись в бд с тем же идентификатором сессии появляется. Но если гдето выполнить такой код:
if (!Yii::app()->session['test']) Yii::app()->session['test'] = rand();
echo Yii::app()->session['test'];
То при обновлении страницы значение session['test'] всегда будет новым.

В случае если $duration будет больше нуля, то все работает нормально.