如何通过Express-session在Redis中注销特定用户的所有会话？

核心思路 #

Express-session结合connect-redis时，会话默认以sess:<sessionId>为键存储序列化的JSON字符串。要精准删除特定用户的所有会话，不能直接遍历所有sess:*键（性能极差），而是要在登录时维护「用户ID → 会话ID列表」的反向映射，这样就能快速定位并删除目标会话。

具体实现步骤 #

1. 登录时维护用户-会话映射

用户登录成功后，将当前会话ID存入Redis的集合（用集合避免重复会话ID），键名格式为user-sessions:<userId>：

// 示例：登录接口逻辑
app.post('/login', async (req, res) => {
  // 验证用户名密码逻辑...
  const userId = '用户的唯一ID'; // 从数据库获取
  // 给会话绑定用户ID
  req.session.userId = userId;
  const sessionId = req.session.id;
  // 将会话ID添加到对应用户的会话集合
  await redisClient.sAdd(`user-sessions:${userId}`, sessionId);
  
  res.send('登录成功');
});

2. 修改密码时销毁用户所有会话

当用户完成密码修改后，通过反向映射获取该用户的所有会话ID，批量删除会话键，最后清理映射集合：

// 封装销毁用户所有会话的函数
async function invalidateUserAllSessions(userId) {
  // 获取该用户的所有会话ID
  const sessionIds = await redisClient.sMembers(`user-sessions:${userId}`);
  
  if (sessionIds.length === 0) return;
  
  // 生成所有会话对应的Redis键
  const sessionKeys = sessionIds.map(id => `sess:${id}`);
  // 批量删除会话
  await redisClient.del(sessionKeys);
  // 删除用户的会话映射集合
  await redisClient.del(`user-sessions:${userId}`);
}

// 修改密码接口
app.post('/change-password', async (req, res) => {
  // 验证当前用户身份、更新密码的逻辑...
  const currentUserId = req.user.id; // 假设req.user已存储当前用户信息
  
  await invalidateUserAllSessions(currentUserId);
  
  res.send('密码修改成功，请在所有设备重新登录');
});

3. 处理会话自动过期/主动登出的残留问题

会话会因过期时间自动销毁，或用户主动登出，这时候需要同步清理反向映射，避免无效数据：

• 主动登出时清理：

  app.get('/logout', async (req, res) => {
    const userId = req.session.userId;
    const sessionId = req.session.id;
    
    // 从用户会话集合中移除当前会话ID
    await redisClient.sRem(`user-sessions:${userId}`, sessionId);
    
    // 销毁当前会话
    req.session.destroy(err => {
      if (err) return res.status(500).send('登出失败');
      res.send('登出成功');
    });
  });
  

• 会话自动过期时清理：
  开启Redis的键空间通知，监听sess:*键的过期事件，自动移除对应会话ID：

  // 开启Redis键空间通知（临时生效，重启Redis需重新配置）
  await redisClient.configSet('notify-keyspace-events', 'Ex');
  
  // 创建订阅客户端监听过期事件
  const subscriber = redisClient.duplicate();
  await subscriber.subscribe('__keyevent@0__:expired'); // @0对应Redis数据库编号
  
  subscriber.on('message', async (channel, expiredKey) => {
    // 只处理会话键的过期事件
    if (!expiredKey.startsWith('sess:')) return;
    
    const sessionId = expiredKey.slice(5);
    // 尝试获取过期前的会话数据（可能已被清理，做容错处理）
    const sessionData = await redisClient.get(expiredKey);
    if (!sessionData) return;
    
    try {
      const session = JSON.parse(sessionData);
      if (session.userId) {
        // 从用户会话集合中移除过期的会话ID
        await redisClient.sRem(`user-sessions:${session.userId}`, sessionId);
      }
    } catch (err) {
      // 解析会话数据失败，忽略
    }
  });
  

注意事项 #

• 确保Redis客户端支持异步操作（如使用ioredis或新版redis库）。
• 如果你的Express-session使用了自定义的键前缀（不是默认的sess:），要同步修改代码中的键前缀。
• 键空间通知需要Redis版本≥2.8.0，生产环境建议在redis.conf中配置notify-keyspace-events Ex永久生效。

内容的提问来源于stack exchange，提问作者youngtoken