IdentityServer4 中管理员如何对指定用户执行登出操作？

HttpContext.SignOutAsync 仅能清除当前请求上下文对应的登录用户Cookie，无法直接操作其他用户的客户端Cookie或已生效的会话凭证，因此需要通过修改服务端校验逻辑实现指定用户的强制登出。

方案1：使用ASP.NET Core Identity内置SecurityStamp机制（推荐） #

该方案是Identity原生支持的能力，无需额外自定义太多逻辑：

• 首先在服务配置中显式配置安全戳的校验间隔，间隔越短强制登出的生效速度越快：

services.Configure<SecurityStampValidatorOptions>(options =>
{
    // 示例设置为1分钟校验一次安全戳
    options.ValidationInterval = TimeSpan.FromMinutes(1);
});

• 管理员需要登出指定用户时，调用UserManager的更新安全戳方法即可：

// 入参为要登出的用户ID
await _userManager.UpdateSecurityStampAsync(targetUserId);

• 原理：用户的Cookie中会存储当前的安全戳值，每次请求到达服务端时，会按设定的间隔对比Cookie中的安全戳和数据库存储的最新安全戳，二者不一致时会自动销毁当前会话，强制用户重新登录，该操作会使目标用户所有设备的登录会话同时失效。

方案2：自定义会话版本校验（未使用Identity的场景） #

如果项目没有集成ASP.NET Core Identity，可以自行实现会话版本校验逻辑：

• 第一步：在用户表新增SessionVersion字段，类型可设为int或Guid，默认值为1
• 第二步：用户登录成功生成Cookie/JWT凭证时，将当前用户的SessionVersion值存入凭证的Claim中
• 第三步：添加全局校验中间件，每次请求时对比凭证中的版本和数据库存储的最新版本，版本不一致则强制登出：

app.Use(async (context, next) =>
{
    if (context.User.Identity?.IsAuthenticated == true)
    {
        var userId = context.User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        var claimVersion = context.User.FindFirst("SessionVersion")?.Value;
        // 从数据库查询目标用户的最新会话版本
        var currentDbVersion = await _userRepository.GetUserSessionVersionAsync(userId);
        if (string.IsNullOrEmpty(claimVersion) || currentDbVersion.ToString() != claimVersion)
        {
            await context.SignOutAsync();
            context.Response.Redirect("/Account/Login");
            return;
        }
    }
    await next();
});

• 第四步：管理员需要登出指定用户时，仅需将目标用户的SessionVersion字段值+1即可，所有已签发的旧凭证都会因版本不匹配失效。

方案3：IdentityServer场景适配 #

如果使用IdentityServer做身份认证，除了上述更新安全戳的操作外，还可以清除该用户所有已签发的授权凭证：

• 注入IPersistedGrantStore服务，调用批量删除方法清除指定用户的所有授权记录：

await _persistedGrantStore.RemoveAllAsync(new PersistedGrantFilter
{
    SubjectId = targetUserId // 要登出的用户ID
});

内容的提问来源于stack exchange，提问作者Mister D