如何实现单用户仅允许单会话登录，新登录自动踢掉旧有效会话

核心问题答疑

• 你担心的JS定时校验被绕过的问题是真实存在的，所有前端校验逻辑都只能做体验优化，不能作为权限控制的核心，核心校验必须落在后端。
• 轮询方案的性能问题本质是架构选型不合理，不是轮询本身不可用。

可选方案按改造成本从低到高排序 #

方案1：优化轮询方案，低成本解决问题

• 把用户最新的session_id从MySQL迁移到Redis存储，单条Redis查询耗时不到1ms，相比MySQL查询性能提升上百倍，即使用户量过万，10秒一次的轮询带来的QPS也只有1000左右，普通云服务器完全可以扛住。
• 单独做一个极简的会话校验接口，只返回状态码：会话有效返回204 No Content，无效返回401 Unauthorized，不需要返回任何业务数据，进一步降低接口开销。
• 视频播放场景单独加兜底校验：所有视频切片请求的header中都要带上session_id，后端在返回切片前先校验session是否为当前用户的最新值，无效直接返回403 Forbidden，即使用户删除了前端校验JS，也无法加载后续的视频内容。

方案2：长连接方案，实现实时踢出效果

如果需要完全无延迟的踢出体验，优先选长连接方案：

• 优先用SSE（服务器发送事件）：用户登录后前端建立SSE长连接，绑定当前会话的session_id，当同一用户新会话登录时，后端主动给旧的SSE连接推送会话失效消息，前端收到消息后直接跳转登录页并清空本地会话凭证。SSE是单向推送，实现逻辑比WebSocket简单很多，刚好匹配你只需要后端发通知的场景。
• 如果后续有双向交互的需求，可以替换为WebSocket，逻辑和SSE基本一致。长连接方案几乎没有多余的请求开销，性能远优于高频轮询。

必须做的兜底逻辑 #

不管选以上哪个方案，都必须加这层校验：
所有需要权限的请求（包括接口、课程资料、视频切片等），都要在网关层或者业务逻辑层先校验请求携带的session_id是否和Redis中存储的该用户最新session_id一致，不一致直接拒绝返回资源，不要等前端主动校验。就算旧会话用户前端缓存了历史页面，也无法获取任何新的权限内资源。

内容的提问来源于stack exchange，提问作者julio fernandez