Django缓存会话场景下，如何按用户名删除用户所有会话？

问题背景 #

当前Django项目采用缓存存储会话，相关配置如下：

# settings.py
MIDDLEWARE = [
    'django.contrib.sessions.middleware.SessionMiddleware',
]
SESSION_ENGINE = "django.contrib.sessions.backends.cache"

默认缓存会话的键由随机值生成，未与用户关联，因此无法直接像数据库存储会话那样按用户批量删除所有会话，需要额外实现关联逻辑。

可行解决方案 #

方案一：自定义会话存储后端，维护用户与会话的映射 #

通过继承默认缓存会话后端，在会话创建/删除时同步维护用户ID与会话键的映射关系，后续即可通过该映射批量删除用户会话。

1. 自定义会话存储类

# myapp/sessions.py
from django.contrib.sessions.backends.cache import CacheSessionStore
from django.core.cache import cache

class UserLinkedCacheSessionStore(CacheSessionStore):
    def create(self):
        super().create()
        # 会话关联用户时，记录会话键到用户的会话集合
        user_id = self.get('_auth_user_id')
        if user_id:
            user_session_key = f"user_sessions:{user_id}"
            cache.sadd(user_session_key, self.session_key)
    
    def delete(self, session_key=None):
        session_key = session_key or self.session_key
        # 删除会话前，从用户的会话集合中移除对应键
        user_id = self.get('_auth_user_id')
        if user_id:
            user_session_key = f"user_sessions:{user_id}"
            cache.srem(user_session_key, session_key)
        super().delete(session_key)

2. 修改配置使用自定义后端

# settings.py
SESSION_ENGINE = "myapp.sessions.UserLinkedCacheSessionStore"

3. 批量删除用户会话的函数

from django.core.cache import cache

def clear_user_all_sessions(user):
    user_session_key = f"user_sessions:{user.id}"
    # 获取用户所有会话键并批量删除
    session_keys = cache.smembers(user_session_key)
    cache.delete_many(session_keys)
    # 清理用户的会话集合缓存
    cache.delete(user_session_key)

方案二：利用登录/登出信号跟踪会话映射 #

无需自定义会话后端，通过Django的用户登录/登出信号，维护用户与会话键的映射关系，实现逻辑与方案一类似，但更灵活。

1. 编写信号处理函数

# myapp/signals.py
from django.contrib.auth.signals import user_logged_in, user_logged_out
from django.core.cache import cache
from django.dispatch import receiver

@receiver(user_logged_in)
def add_session_to_user(sender, request, user, **kwargs):
    if request.session.session_key:
        user_session_key = f"user_sessions:{user.id}"
        cache.sadd(user_session_key, request.session.session_key)

@receiver(user_logged_out)
def remove_session_from_user(sender, request, user, **kwargs):
    if request.session.session_key:
        user_session_key = f"user_sessions:{user.id}"
        cache.srem(user_session_key, request.session.session_key)

2. 注册信号

# myapp/apps.py
from django.apps import AppConfig

class MyAppConfig(AppConfig):
    default_auto_field = 'django.db.models.BigAutoField'
    name = 'myapp'

    def ready(self):
        import myapp.signals

3. 使用与方案一相同的clear_user_all_sessions函数删除会话

方案三：缓存键遍历匹配（不推荐生产环境） #

如果缓存后端支持键遍历（如Redis），可以遍历所有会话键，逐个检查会话数据是否属于目标用户后删除。此方法效率极低，仅适用于测试或小规模场景。

from django.core.cache import cache
from django.contrib.sessions.backends.cache import KEY_PREFIX

def clear_user_sessions_bruteforce(user):
    user_id_str = str(user.id)
    # 仅适用于Redis等支持scan操作的缓存后端
    if hasattr(cache, 'client') and hasattr(cache.client, 'get_client'):
        client = cache.client.get_client()
        pattern = f"{KEY_PREFIX}:*"
        cursor = 0
        while True:
            cursor, keys = client.scan(cursor, pattern, count=100)
            for key in keys:
                session_data = cache.get(key)
                if session_data and session_data.get('_auth_user_id') == user_id_str:
                    cache.delete(key)
            if cursor == 0:
                break

总结 #

• 推荐使用方案一或方案二，两者都能可靠维护用户与会话的关联，批量删除效率高。
• 方案一的自定义后端更贴近会话存储的核心逻辑，数据一致性更好；方案二用信号实现，无需修改会话存储底层，更灵活。

内容的提问来源于stack exchange，提问作者Biswajit Mandal