如何在Node.js中销毁指定用户的所有认证会话？

方案1：维护用户-会话ID映射集合 #

在用户登录验证通过后，手动建立用户ID与会话ID的关联，后续销毁会话时直接通过关联关系定位目标会话：

• 用户登录成功（Passport认证完成后），将当前会话ID存入Redis的集合中，集合命名为user:sess:${userId}，以此绑定用户和其所有活跃会话。
• 会话销毁时（比如用户主动注销、会话过期），从对应用户的集合中移除该会话ID，避免无效数据残留。

销毁指定用户所有会话的流程：

1. 从Redis中取出目标用户ID对应的会话ID集合。
2. 批量删除这些会话ID对应的Redis会话键（默认格式为sess:${sessionId}）。
3. 清空该用户的会话ID集合。

示例代码片段：

// 登录成功后绑定用户与会话
app.post('/login', passport.authenticate('local'), (req, res) => {
  const userId = req.user.id;
  const sessionId = req.sessionID;
  // 将会话ID加入用户专属集合
  redisClient.sadd(`user:sess:${userId}`, sessionId);
  // 给集合设置与会话一致的过期时间，自动清理过期会话
  redisClient.expire(`user:sess:${userId}`, req.session.cookie.maxAge / 1000);
  res.send('登录成功');
});

// 批量销毁用户所有会话的函数
async function destroyUserSessions(targetUserId) {
  // 获取用户所有活跃会话ID
  const sessionIds = await redisClient.smembers(`user:sess:${targetUserId}`);
  // 批量删除会话键
  const deleteTasks = sessionIds.map(sessionId => redisClient.del(`sess:${sessionId}`));
  await Promise.all(deleteTasks);
  // 清空用户的会话ID集合
  await redisClient.del(`user:sess:${targetUserId}`);
}

// 会话销毁时同步清理映射关系
req.session.destroy((err) => {
  if (err) console.error(err);
  const userId = req.user?.id;
  if (userId) {
    redisClient.srem(`user:sess:${userId}`, req.sessionID);
  }
});

方案2：扩展Redis会话存储自动维护映射 #

如果你使用connect-redis作为会话存储，可以扩展其方法，在会话保存、销毁时自动处理用户与会话的关联，无需在业务代码中重复编写逻辑：

• 重写set方法：当会话保存到Redis时，解析出会话中的passport.user字段获取用户ID，自动将会话ID加入对应用户的集合。
• 重写destroy方法：删除会话时，自动从用户集合中移除该会话ID。

后续销毁用户会话的逻辑和方案1一致，只需调用destroyUserSessions函数即可。

方案3：利用Redis键空间通知清理过期会话 #

开启Redis的键空间通知功能，监听会话键的过期事件，当会话自动过期时，自动从用户的会话ID集合中移除对应的ID，避免集合中残留无效的会话ID。

注意事项 #

• 确保映射关系的一致性：用户注销、会话过期、主动销毁会话时，都要同步更新用户的会话ID集合，避免出现无效数据。
• 过期时间对齐：用户会话ID集合的过期时间要与会话cookie的过期时间保持一致，防止集合残留无意义的过期会话ID。

内容的提问来源于stack exchange，提问作者Diyan Slavov