.NET Core中跨场景注销旧登录会话的实现及参考链接使用疑问

嘿，这两个场景其实本质都是同一用户多端登录时的旧会话管理问题，在.NET Core里有两种主流方案可以解决，我给你一步步拆解清楚：

这个方法简单粗暴，适合不需要精细控制会话、只要新登录就踢掉所有旧会话的场景（完美覆盖你说的两个需求）。

原理是：.NET Core Identity的Cookie认证会关联用户的SecurityStamp，当这个Stamp更新时，所有旧的登录Cookie都会因为验证失败而失效，用户必须重新登录。

具体步骤 #

1. 登录时更新SecurityStamp
   在你的登录Action里，成功登录后更新用户的SecurityStamp并刷新会话：

[HttpPost]
public async Task<IActionResult> Login(LoginViewModel model)
{
    if (!ModelState.IsValid) return View(model);

    var result = await _signInManager.PasswordSignInAsync(
        model.Email, 
        model.Password, 
        model.RememberMe, 
        lockoutOnFailure: false
    );

    if (result.Succeeded)
    {
        var user = await _userManager.FindByEmailAsync(model.Email);
        if (user != null)
        {
            // 更新SecurityStamp，让所有旧会话失效
            await _userManager.UpdateSecurityStampAsync(user);
            // 刷新当前登录会话，确保使用最新的Stamp
            await _signInManager.RefreshSignInAsync(user);
        }
        return RedirectToAction("Index", "Home");
    }

    ModelState.AddModelError(string.Empty, "登录失败，请检查账号密码");
    return View(model);
}

2. 配置Cookie认证的实时验证
   为了让旧会话更快失效，我们可以在Cookie验证事件里主动检查SecurityStamp是否匹配：

// 在Program.cs（.NET 6+）或Startup.cs的ConfigureServices中
services.ConfigureApplicationCookie(options =>
{
    options.Cookie.HttpOnly = true;
    options.ExpireTimeSpan = TimeSpan.FromMinutes(30);
    options.SlidingExpiration = true;

    options.Events = new CookieAuthenticationEvents
    {
        OnValidatePrincipal = async context =>
        {
            var userManager = context.HttpContext.RequestServices.GetRequiredService<UserManager<IdentityUser>>();
            var user = await userManager.GetUserAsync(context.Principal);

            if (user == null) return;

            // 获取当前用户的最新SecurityStamp
            var currentStamp = await userManager.GetSecurityStampAsync(user);
            // 获取Cookie中携带的Stamp
            var principalStamp = context.Principal.FindFirstValue(ClaimTypes.SerialNumber);

            // 不匹配则注销旧会话
            if (!string.Equals(currentStamp, principalStamp))
            {
                context.RejectPrincipal();
                await context.HttpContext.SignOutAsync(IdentityConstants.ApplicationScheme);
            }
        }
    };
});

如果你需要更精细的控制（比如只踢掉用户之前的会话，或者针对特定端的会话），可以通过存储会话ID的方式实现精准管理。

具体步骤 #

1. 创建会话存储实体
   先定义一个实体类来记录用户的会话信息：

public class UserSession
{
    public int Id { get; set; }
    public string UserId { get; set; }
    public string SessionId { get; set; }
    public DateTime CreatedAt { get; set; } = DateTime.UtcNow;
    public DateTime? ExpiresAt { get; set; }

    // 关联Identity用户
    public virtual IdentityUser User { get; set; }
}

2. 添加数据库上下文
   在你的DbContext中添加会话集合：

public class ApplicationDbContext : IdentityDbContext<IdentityUser>
{
    public ApplicationDbContext(DbContextOptions<ApplicationDbContext> options)
        : base(options) { }

    public DbSet<UserSession> UserSessions { get; set; }
}

然后执行数据库迁移，创建UserSessions表。

3. 登录时管理会话
   登录成功后，删除该用户的所有旧会话记录，只保留当前新会话：

[HttpPost]
public async Task<IActionResult> Login(LoginViewModel model)
{
    if (!ModelState.IsValid) return View(model);

    var result = await _signInManager.PasswordSignInAsync(
        model.Email, 
        model.Password, 
        model.RememberMe, 
        lockoutOnFailure: false
    );

    if (result.Succeeded)
    {
        var user = await _userManager.FindByEmailAsync(model.Email);
        if (user != null)
        {
            var currentSessionId = HttpContext.Session.Id;
            // 删除该用户所有非当前会话的记录
            await _context.UserSessions
                .Where(s => s.UserId == user.Id && s.SessionId != currentSessionId)
                .ExecuteDeleteAsync();
            
            // 添加当前会话记录
            _context.UserSessions.Add(new UserSession
            {
                UserId = user.Id,
                SessionId = currentSessionId,
                ExpiresAt = DateTime.UtcNow.AddMinutes(30) // 和Cookie过期时间保持一致
            });
            await _context.SaveChangesAsync();
        }
        return RedirectToAction("Index", "Home");
    }

    ModelState.AddModelError(string.Empty, "登录失败，请检查账号密码");
    return View(model);
}

4. 验证会话有效性
   在Cookie验证事件中，检查当前会话ID是否存在于有效会话列表中：

services.ConfigureApplicationCookie(options =>
{
    // 基础配置...
    options.Events = new CookieAuthenticationEvents
    {
        OnValidatePrincipal = async context =>
        {
            var user = await _userManager.GetUserAsync(context.Principal);
            if (user == null) return;

            var currentSessionId = context.HttpContext.Session.Id;
            // 检查会话是否存在且未过期
            var isValidSession = await _context.UserSessions
                .AnyAsync(s => 
                    s.UserId == user.Id && 
                    s.SessionId == currentSessionId && 
                    s.ExpiresAt > DateTime.UtcNow);

            if (!isValidSession)
            {
                context.RejectPrincipal();
                await context.HttpContext.SignOutAsync(IdentityConstants.ApplicationScheme);
            }
        }
    };
});

• 如果你只需要简单的“新登录踢旧会话”，方案1足够用，代码量少，不需要额外存储。
• 如果你需要精准控制每个会话的生命周期（比如允许用户同时保留N个会话，或者手动注销指定会话），方案2更适合。

内容的提问来源于stack exchange，提问作者swapnil