如何在Node.js的Passport.js中实现用户远程强制登出功能？

我明白你想要实现类似谷歌那样的远程登出功能——让用户能一键销毁自己在所有设备、浏览器上的会话。用Passport.js确实没有直接的内置方法，但我们可以通过会话追踪+主动销毁的方式来实现，下面是具体步骤：

1. 替换默认会话存储为可查询的方案 #

默认的Express内存会话存储既不适合生产环境，也没法按用户ID检索会话。推荐使用connect-mongo（MongoDB）或connect-redis（Redis）这类支持查询的存储，这样我们才能找到属于某个用户的所有会话。

以connect-mongo为例，配置代码如下：

const session = require('express-session');
const MongoStore = require('connect-mongo');

app.use(session({
  secret: 'your-strong-secret-key',
  resave: false,
  saveUninitialized: false,
  store: MongoStore.create({
    mongoUrl: 'your-mongodb-connection-string',
    collectionName: 'sessions' // 存储会话的集合名
  })
}));

2. 在会话中关联用户ID #

用户登录成功后，把用户的唯一ID存入会话对象。Passport.js会把用户信息放在req.user里，你可以在登录回调或全局中间件中完成这件事：

方式一：登录回调中设置 #

passport.authenticate('local', (err, user) => {
  if (err || !user) {
    return res.status(401).json({ message: '登录失败' });
  }
  req.login(user, (loginErr) => {
    if (loginErr) {
      return res.status(500).json({ message: '登录异常' });
    }
    // 将用户ID写入会话
    req.session.userId = user._id;
    req.session.save();
    return res.redirect('/dashboard');
  });
})(req, res);

方式二：全局中间件补全 #

如果担心有些场景没设置userId，可以加个中间件确保已登录用户的会话都有这个字段：

app.use((req, res, next) => {
  if (req.isAuthenticated() && !req.session.userId) {
    req.session.userId = req.user._id;
    req.session.save();
  }
  next();
});

3. 编写远程登出的接口 #

现在我们可以通过会话存储的API，查询出所有属于目标用户的会话，然后逐个销毁。还是以connect-mongo为例：

// 这个接口需要验证权限，确保只有用户本人或管理员能调用
app.post('/api/logout-all', async (req, res) => {
  if (!req.isAuthenticated()) {
    return res.status(401).json({ message: '请先登录' });
  }

  try {
    const sessionStore = req.sessionStore;
    // 查询所有包含当前用户ID的会话
    const userSessions = await sessionStore.find({ 'session.userId': req.user._id });

    // 循环销毁每个会话
    for (const session of userSessions) {
      await sessionStore.destroy(session._id);
    }

    // 最后销毁当前设备的会话并登出
    req.logout((logoutErr) => {
      if (logoutErr) {
        return res.status(500).json({ message: '登出失败' });
      }
      req.session.destroy();
      res.json({ message: '已成功登出所有设备' });
    });
  } catch (err) {
    console.error('远程登出出错:', err);
    res.status(500).json({ message: '服务器内部错误' });
  }
});

如果用Redis存储，核心逻辑一样，只是查询和销毁的API需要对应调整，参考connect-redis的官方文档即可。

4. 可选：会话有效性校验中间件 #

为了避免极端情况下（比如会话还没来得及被销毁，用户又发起请求）的异常，可以加个中间件，每次请求时检查当前会话是否还存在：

app.use(async (req, res, next) => {
  if (req.isAuthenticated()) {
    const sessionExists = await req.sessionStore.get(req.sessionID);
    if (!sessionExists) {
      // 会话已被销毁，强制登出
      req.logout();
      return res.redirect('/login?expired=1');
    }
  }
  next();
});

内容的提问来源于stack exchange，提问作者EKG