分布式应用中实现用户会话强制失效

// 概念性示例：Spring Security 或 Grails 过滤器中的令牌验证逻辑
public class TokenAuthenticationFilter extends OncePerRequestFilter {

    private final TokenService tokenService; // 假设有一个TokenService负责令牌的验证和管理

    public TokenAuthenticationFilter(TokenService tokenService) {
        this.tokenService = tokenService;
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
            throws ServletException, IOException {
        String authorizationHeader = request.getHeader("Authorization");

        if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ")) {
            String token = authorizationHeader.substring(7);

            // 验证令牌的有效性、过期时间、签名，并检查是否已失效
            if (tokenService.isValidAndNotRevoked(token)) {
                // 如果令牌有效，设置认证信息到SecurityContext
                // 例如：SecurityContextHolder.getContext().setAuthentication(new UsernamePasswordAuthenticationToken(...));
            } else {
                // 令牌无效或已失效，拒绝访问
                response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
                return;
            }
        }
        filterChain.doFilter(request, response);
    }
}

// 概念性示例：用户服务中的密码变更逻辑
public class UserService {

    private final TokenService tokenService;

    public UserService(TokenService tokenService) {
        this.tokenService = tokenService;
    }

    public boolean changePassword(Long userId, String oldPassword, String newPassword) {
        // 1. 验证旧密码
        // ...

        // 2. 更新用户密码
        // ...

        // 3. 强制失效该用户的所有活跃令牌
        tokenService.revokeAllTokensForUser(userId); 
        return true;
    }
}

// 概念性示例：TokenService 接口和实现
public interface TokenService {
    String generateToken(UserDetails userDetails);
    boolean isValidAndNotRevoked(String token);
    void revokeToken(String token);
    void revokeAllTokensForUser(Long userId); // 根据用户ID失效所有令牌
}

// 示例实现（使用Redis作为令牌存储）
public class RedisTokenService implements TokenService {
    // ... RedisTemplate 注入 ...

    @Override
    public void revokeAllTokensForUser(Long userId) {
        // 假设令牌存储时关联了用户ID
        // 可以通过查询Redis中所有以 "user:{userId}:token:*" 为key的令牌，然后删除或标记为失效
        // 或者维护一个用户ID到其所有活跃令牌的映射
        Set<String> userTokens = redisTemplate.opsForSet().members("user_active_tokens:" + userId);
        if (userTokens != null) {
            userTokens.forEach(token -> {
                redisTemplate.delete("token_status:" + token); // 删除令牌状态或标记为失效
                // 同时从活跃令牌集合中移除
                redisTemplate.opsForSet().remove("user_active_tokens:" + userId, token);
            });
        }
    }
    // ... 其他方法实现 ...
}