Flutter实现多设备账号认证及改密后跨设备强制登出问询

一、实现Netflix式同账号多设备登录认证 #

• 后端维护用户的设备会话列表：用户每在新设备登录，生成唯一session_id（绑定设备UUID、系统信息），和用户ID关联存入数据库，同时记录登录时间、设备名称。
• Flutter端登录后持久化凭证：登录成功后，后端返回access_token、refresh_token和当前session_id，用flutter_secure_storage加密存储这些信息，避免明文泄露。
• 多设备管理页实现：用户进入账号设置的“登录设备”页面时，调用后端接口拉取所有有效会话，渲染设备信息（比如“iPhone 14”“Windows Chrome”）和登录时间，支持用户手动选择某台设备触发登出（后端删除对应session_id）。
• 会话有效性校验：每次API请求时，后端校验请求携带的access_token对应的session_id是否在有效列表里，无效则返回401状态码，Flutter端收到后自动清除本地凭证并跳转登录页。

二、改密后自动登出其他设备 #

方案1：密码版本号校验（轻量易实现） #

• 后端给用户表加password_version字段，初始值为1。用户修改密码时，把这个字段自增（比如从1变2）。
• 每个会话记录绑定当前的password_version。Flutter端每次发起API请求（或定时每5分钟轮询一次账号状态），后端对比会话绑定的版本号和用户当前的版本号，不一致就返回401，提示“密码已修改，请重新登录”。
• Flutter端拦截器示例：

  class AuthInterceptor extends Interceptor {
    @override
    void onResponse(Response response, ResponseInterceptorHandler handler) {
      if (response.statusCode == 401 && response.data?['code'] == 'PASSWORD_UPDATED') {
        // 清除本地所有认证凭证
        await FlutterSecureStorage().deleteAll();
        // 跳转登录页
        Navigator.of(navigatorKey.currentContext!).pushReplacementNamed('/login');
      }
      super.onResponse(response, handler);
    }
  }
  

方案2：全局会话批量失效（实时性更强） #

• 用户修改密码时，后端直接标记该用户下所有非当前设备的session_id为无效，同时给当前设备生成新的refresh_token。
• 其他设备用旧的refresh_token刷新令牌时，后端返回失效，Flutter端检测到后立即触发登出流程。
• 实时优化：如果需要即时登出，用WebSocket和后端建立长连接，用户改密后后端主动给其他在线设备推送“会话失效”消息，Flutter端收到消息后直接执行登出操作，不用等轮询。

内容的提问来源于stack exchange，提问作者akash