如何在Redis缓存中保存用户多会话？ASP.NET Core多设备登出实现

一、现有结构下获取用户所有会话的方式 #

当前Redis存储结构是sessionId（键）→ username（值），要获取某用户的所有会话，需要遍历Redis中所有键值对，筛选出值等于目标username的sessionId。注意不要直接用KEYS *（会阻塞Redis），推荐用SCAN命令分批扫描：

示例代码（基于StackExchange.Redis）：

public async Task<List<string>> GetUserAllSessionIds(string username)
{
    var sessionIds = new List<string>();
    var redis = ConnectionMultiplexer.Connect("your_redis_connection_string");
    var db = redis.GetDatabase();
    var server = redis.GetServer(redis.GetEndPoints().First());

    // 按前缀缩小扫描范围（ASP.NET Core默认session键前缀为"session:"）
    foreach (var key in server.Keys(pattern: "session:*"))
    {
        var storedUsername = await db.StringGetAsync(key);
        if (storedUsername == username)
        {
            sessionIds.Add(key.ToString());
        }
    }
    return sessionIds;
}

拿到这些sessionId后，逐个删除Redis中的对应键，即可实现用户从所有设备登出。

二、避免username为键时覆盖值的正确实现 #

直接用username为键存储单个sessionId会导致覆盖，应该用Redis的集合类型存储同一用户的所有sessionId，推荐用Set（自动去重，适合存储唯一会话ID）：

1. 修改登录逻辑（SignIn方法） #

登录时将sessionId添加到对应用户的Set集合中，同时保留sessionId与username的映射用于会话验证：

public async Task<IActionResult> SignIn([FromBody] SignInRequest user)
{
    var sessionId = HttpContext.Session.Id;
    var redis = ConnectionMultiplexer.Connect("your_redis_connection_string");
    var db = redis.GetDatabase();

    // 将sessionId加入用户会话集合
    await db.SetAddAsync($"user_sessions:{user.UserName}", sessionId);
    // 保存sessionId到username的映射
    await db.StringSetAsync($"session:{sessionId}", user.UserName);

    await HttpContext.Session.CommitAsync();
    return Ok();
}

2. 单设备登出逻辑 #

登出时从用户的Set集合中移除当前sessionId，并删除session对应的键：

public async Task<IActionResult> SignOut()
{
    var sessionId = HttpContext.Session.Id;
    var redis = ConnectionMultiplexer.Connect("your_redis_connection_string");
    var db = redis.GetDatabase();

    var username = await db.StringGetAsync($"session:{sessionId}");
    if (!string.IsNullOrEmpty(username))
    {
        await db.SetRemoveAsync($"user_sessions:{username}", sessionId);
    }
    await db.KeyDeleteAsync($"session:{sessionId}");
    await HttpContext.Session.CommitAsync();

    return Ok();
}

3. 修改密码时强制全设备登出 #

直接获取用户的所有sessionId，批量删除会话：

public async Task<IActionResult> ChangePassword([FromBody] ChangePasswordRequest request)
{
    // 先执行密码修改逻辑...

    var redis = ConnectionMultiplexer.Connect("your_redis_connection_string");
    var db = redis.GetDatabase();
    var sessionSetKey = $"user_sessions:{request.UserName}";

    // 获取用户所有会话ID
    var sessionIds = await db.SetMembersAsync(sessionSetKey);
    foreach (var sessionId in sessionIds)
    {
        await db.KeyDeleteAsync($"session:{sessionId}");
    }
    // 清空用户会话集合
    await db.KeyDeleteAsync(sessionSetKey);

    return Ok("密码修改成功，已从所有设备登出");
}

额外优化 #

• 给session键设置与ASP.NET Core会话一致的过期时间，避免无效会话占用空间；
• 若需记录会话额外信息（如登录设备、时间），可改用Redis Hash类型，键为user_sessions:{username}，field为sessionId，value为序列化的会话信息对象。

内容的提问来源于stack exchange，提问作者Saghar Francis