Laravel中管理员修改用户角色后如何强制其所有设备登出？

针对管理员修改用户角色后需要强制该用户所有设备登出的需求，以下是几种可行的实现方式：

方法一：删除用户所有数据库会话（最直接） #

如果你的项目使用数据库驱动的会话（config/session.php中driver配置为database），可以直接删除该用户关联的所有会话记录，强制其所有设备登出：

use Illuminate\Support\Facades\DB;

// 替换为目标用户ID
$targetUserId = 123;
DB::table('sessions')->where('user_id', $targetUserId)->delete();

执行后，该用户的所有有效会话都会被清除，下次访问系统时必须重新登录。

方法二：利用密码哈希变更触发会话失效 #

Laravel默认会验证会话中存储的用户密码哈希与数据库中的是否一致，若不一致则会话失效。你无需修改用户真实密码，只需重新保存当前密码哈希即可触发这一机制：

$user = \App\Models\User::find($targetUserId);
// 强制保存当前密码哈希，触发会话验证失效
$user->forceFill(['password' => $user->password])->save();

这种方式无需依赖数据库会话驱动，适用于任何会话存储方式。

方法三：撤销Laravel Sanctum令牌（API认证场景） #

如果项目使用Sanctum做API令牌认证，直接删除用户的所有令牌即可强制登出：

$user = \App\Models\User::find($targetUserId);
$user->tokens()->delete();

用户后续请求必须重新获取新的令牌才能访问API。

方法四：自定义会话失效标记（灵活扩展） #

如果需要更灵活的控制（比如记录撤销时间、支持恢复会话等），可以添加自定义字段实现：

1. 给users表添加session_revoked_at字段（datetime类型，允许为空）
2. 管理员修改角色时，更新该字段为当前时间：

$user->update(['session_revoked_at' => now()]);

3. 创建中间件验证会话有效性，示例：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Support\Facades\Auth;

class ValidateSessionRevoked
{
    public function handle($request, Closure $next)
    {
        $user = $request->user();
        if ($user && $request->session()->get('login_timestamp') < $user->session_revoked_at) {
            Auth::logout();
            $request->session()->invalidate();
            $request->session()->regenerateToken();

            return redirect()->route('login');
        }

        return $next($request);
    }
}

4. 登录时在会话中存储登录时间（可在LoginController的authenticated方法中添加）：

protected function authenticated(Request $request, $user)
{
    $request->session()->put('login_timestamp', now());
}

5. 将中间件注册到app/Http/Kernel.php的web路由组中。

内容的提问来源于stack exchange，提问作者VVan