Spring Boot中修改用户密码后如何强制登出该用户所有已登录设备

核心逻辑是跟踪同一用户的所有有效登录凭证，密码修改成功后批量作废改密码前签发的所有凭证，下面提供两种主流场景下的可行实现：

方案一：基于Session会话机制（服务端存会话状态） #

适合传统服务端渲染、会话存在Redis/数据库的场景，可直接复用Spring Security原生能力：

• 引入依赖：如果是集群部署优先用Redis存会话，引入spring-boot-starter-security、spring-session-data-redis、spring-boot-starter-data-redis依赖
• 配置会话注册表：在Spring Security配置类中注册会话管理能力，允许同一用户多设备同时登录

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http, SessionRegistry sessionRegistry) throws Exception {
        http
            // 其他安全配置省略
            .sessionManagement()
            .maximumSessions(-1) // -1表示不限制同一用户同时登录的设备数
            .sessionRegistry(sessionRegistry)
            .invalidSessionUrl("/login?expired"); // 会话过期后跳转的地址，接口场景可配置返回401状态码
        return http.build();
    }

    // 适配Spring Session的会话注册表，集群场景可用
    @Bean
    public SessionRegistry sessionRegistry(RedisIndexedSessionRepository sessionRepository) {
        return new SpringSessionBackedSessionRegistry<>(sessionRepository);
    }
}

• 密码修改后触发登出逻辑：更新密码成功后，拉取该用户所有有效会话，跳过当前操作的设备会话，作废其他所有会话

@Autowired
private SessionRegistry sessionRegistry;

public void changePassword(String username, String oldPassword, String newPassword, HttpServletRequest request) {
    // 旧密码校验、数据库密码更新逻辑省略
    // 作废该用户其他设备的会话
    List<Object> allPrincipals = sessionRegistry.getAllPrincipals();
    for (Object principal : allPrincipals) {
        if (principal instanceof UserDetails && ((UserDetails) principal).getUsername().equals(username)) {
            // false表示只拉取未过期的有效会话
            List<SessionInformation> validSessions = sessionRegistry.getAllSessions(principal, false);
            String currentSessionId = request.getSession().getId();
            for (SessionInformation session : validSessions) {
                // 跳过当前用户正在操作的设备会话，不需要把自己踢下线
                if (!session.getSessionId().equals(currentSessionId)) {
                    session.expireNow();
                }
            }
            break;
        }
    }
}

方案二：基于Token认证（JWT/OAuth2 前后端分离场景） #

因为JWT默认是无状态的，签发后无法主动作废，需要通过版本号控制有效性：

• 用户表新增last_password_reset_time字段，类型为时间戳，每次用户修改密码时更新该字段为当前时间
• 签发Token时，将last_password_reset_time的值存入Token的Payload中
• 每次请求校验Token时，额外对比Token中存储的密码重置时间和数据库中用户当前的最新密码重置时间，如果Token中的时间更早，直接判定凭证无效返回401

// Token校验逻辑示例
public boolean validateToken(String token, String username) {
    // 签名校验、过期时间校验逻辑省略
    Claims claims = Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();
    Long tokenPwdResetTime = claims.get("lastPwdResetTime", Long.class);
    // 可以把最新密码重置时间存在Redis减少数据库查询压力
    Long latestPwdResetTime = userMapper.selectLastPwdResetTime(username);
    return tokenPwdResetTime >= latestPwdResetTime;
}

注意事项 #

• 集群部署场景下不要使用默认的内存级会话存储，必须将会话/凭证版本号存在Redis等公共共享存储中，否则其他节点的会话无法被正常作废
• 单个用户的并发会话数通常不会超过10个，批量作废操作不会有性能压力
• JWT的Payload是明文Base64编码，不要存储密码等敏感信息

内容的提问来源于stack exchange，提问作者Rakhi