FastAPI用户认证强化：登录过期与并发会话管控方案咨询

一、单用户并发会话管控：用反向映射替代全量遍历 #

你原来遍历所有Redis中Cookie的方案性能极差，完全没必要，换用用户名→当前有效会话ID的反向映射就能高效解决：

• 设计Redis Key结构：
  • session:{session_id}：存储会话核心信息（比如用户名、创建时间），设置合理的过期时间
  • user:active_session:{username}：存储该用户当前唯一有效的会话ID，无过期时间（随会话销毁删除）
• 登录流程：
  1. 用户提交登录请求，验证通过后生成唯一session_id
  2. 先查询user:active_session:{username}是否存在旧的old_session_id
  3. 如果存在旧会话，直接删除session:{old_session_id}，同时可以给旧会话推送强制下线通知（如果是Web端可以用WebSocket）
  4. 将新的session_id存入user:active_session:{username}，并创建session:{session_id}记录会话信息
• 请求校验流程：
  1. 用户请求携带session_id，先查询session:{session_id}是否存在，不存在直接拒绝
  2. 从session:{session_id}中取出用户名，查询user:active_session:{username}的值
  3. 如果查询到的值和当前session_id不一致，说明用户已在其他地方登录，直接拒绝请求并提示

这种方式所有操作都是Redis的O(1)查询/写入，完全不会有性能问题，比全量遍历靠谱太多。

二、AFK自动登出：利用Redis过期特性+异步持久化 #

用Redis处理会话过期比MongoDB高效得多，MongoDB适合做持久化补充，不用每次请求都操作：

• 核心实现依赖Redis的过期机制：
  1. 每次用户发起有效请求（比如页面跳转、接口调用）时，执行EXPIRE session:{session_id} 1800（假设AFK超时时间是30分钟，1800秒），自动刷新会话过期时间
  2. 当用户超过30分钟无活动，Redis会自动删除session:{session_id}，下次请求校验时直接判定会话失效，实现自动登出
• 持久化最后活动时间（可选）：
  如果需要把用户最后活动时间存到MongoDB用于统计或其他业务，别每次请求都同步写MongoDB，而是：
  1. 用Redis哈希表user:last_active:{username}存储用户最后活动时间戳，每次请求时用HSET更新（O(1)操作）
  2. 写一个定时任务（比如每分钟执行一次），批量将Redis中的最后活动时间同步到MongoDB，避免频繁写入数据库

额外优化点 #

• 会话ID要生成足够随机的字符串（比如用UUIDv4），防止被暴力猜测
• 对于Web端，可以结合前端心跳（比如每5分钟发一次AJAX请求），避免用户正常打开页面但无操作被误登出
• 如果是分布式系统，确保Redis是集群模式，避免单点故障

内容的提问来源于stack exchange，提问作者Capitan Security