IdentityServer4中管理员能否在后端主动登出其他指定的已认证用户？

核心问题前置说明 #

• 无法从IdentityServer后端直接清除其他用户浏览器中存储的对应Cookie：受HTTP协议安全机制限制，服务端仅能修改当前发起请求的用户的Cookie，无法跨请求操作其他用户的浏览器存储
• 不能通过管理员请求上下文调用HttpContext.SignOutAsync()登出其他用户：该方法仅作用于当前请求对应的登录会话，也就是管理员自己的会话，和目标用户无关

可选实现方案 #

方案1：令牌有效期+用户状态校验（实现成本最低，推荐大多数场景使用） #

• 缩短IdentityServer签发的access_token（访问令牌）有效期，建议设置为5~15分钟，降低禁用后的生效延迟
• 在IdentityServer的身份校验中间件、以及客户端的资源请求校验逻辑中，增加用户Enabled属性校验步骤：每次校验令牌有效性时，同步查询对应用户的启用状态，如果状态为禁用，直接返回401未授权
• 客户端收到401响应后，自行调用HttpContext.SignOutAsync()清除本地登录状态，跳转至IdentityServer登录页，此时因为用户已被禁用，IdentityServer会直接拒绝登录请求，完成踢下线流程
• 若使用了refresh_token（刷新令牌），同理在校验刷新请求时增加用户状态校验，禁用后直接拒绝刷新请求，强制客户端重新登录

方案2：服务端会话存储+主动通知（适合需要即时踢下线的场景） #

• 改造IdentityServer默认的无状态会话逻辑，新增服务端会话存储：将所有登录用户的会话ID、关联客户端标识、用户ID、有效状态存储到数据库或分布式缓存中
• 管理员执行用户禁用操作时，同步查询该用户对应的所有有效会话，批量标记为失效状态
• 两种方式触发客户端登出：
  1. 客户端定时轮询IdentityServer的会话状态校验接口，若查询到当前会话已失效，立即执行本地登出逻辑
  2. 使用IdentityServer自带的Back-Channel Logout机制，禁用用户时由IdentityServer主动向所有关联的客户端后端发送登出回调请求，客户端后端收到请求后直接清除对应用户的本地登录状态

补充说明 #

如果你的业务对踢下线的即时性要求不高，优先选择方案1即可，不需要改造现有IdentityServer的核心逻辑，实现成本极低，仅需要新增简单的状态校验逻辑即可。

内容的提问来源于stack exchange，提问作者RudimentaryMan