Redis咋防止用户老是重复登录，这事儿到底咋整才靠谱

让一个账号在同一时间只能在一个地方保持“真正有效”的登录状态。

你想啊,为啥会出现重复登录？就是因为服务器觉得你每次用账号密码来登录，都是合法的，所以就给你发一个新的“通行证”（通常是Token或Session），它可能没去检查你这个账号是不是已经在别处登录了，还拿着一个旧的通行证在溜达。

那Redis在这里面扮演啥角色呢？它就像一个高效的“中央登记处”或者“门卫大爷的记事本”，以前没有Redis的时候，服务器可能自己记不住那么多事，或者几个服务器之间信息不通畅，Redis速度快、记性好，还支持设置每个条目的存活时间，正好完美契合登录状态管理的需求。

具体咋整？这里有几个常见的靠谱法子：

一个萝卜一个坑（最简单的Token登记）

这个法子最直接,用户第一次登录成功，服务器会生成一个唯一的Token（比如一串又长又乱的字符），把这个Token返回给用户（比如存在用户的浏览器里），服务器干一件关键的事：把这个Token和用户的账号（比如UserID）的对应关系，存到Redis里。

• Redis里存啥：Key就是那个Token，Value就是用户的UserID，再给这个Key设置一个过期时间，比如7200秒（2小时），这就是登录状态的有效期。
• 怎么防重复：每次用户带着Token来访问，服务器就去Redis里查一下这个Token是否存在，存在，就说明你是有效登录，放行，不存在，就让你重新登录。
• 关键一步：当同一个账号（比如张三）在A设备登录时，生成一个新的Token1，存进Redis，如果他又在B设备登录，服务器会重新为他生成一个全新的Token2。把Token2覆盖掉Redis里原来对应张三账号的那个旧Token（Token1），这样一来，A设备再拿着已经过时的Token1来访问时，Redis里已经找不到了，就会要求重新登录，这就保证了只有最后登录的那个设备是有效的。

这个法子简单有效,但有个小缺点：它只能让“最后登录”的设备有效，会直接把之前登录的设备踢下线，有时候我们可能不想要这么强硬的效果。

发牌管理（支持多设备，但可控）

有时候业务需要允许用户同时在手机、电脑上都登录，但不能无限制地乱登，这时候就可以用这个“发牌”的法子。

• Redis里存啥：Key不再是Token，而是用户的UserID，Value可以是一个集合（Set）或者哈希（Hash），里面存放这个用户所有“有效登录”的Token，还是给这个Key设置一个全局过期时间。
• 怎么工作：用户在一个新设备登录，就生成一个新Token，然后把这个Token添加到Redis中对应他UserID的集合里，每次验证时，除了检查Token是否存在，还要检查它是否在属于这个用户的“有效Token集合”里。
• 怎么控制：你可以设置规则，比如同一个账号最多只能有3个有效Token（即同时登录3个设备），当登录第4个设备时，就把集合里最老的那个Token删掉（相当于踢掉最早登录的那个设备），这样就能实现“允许有限的多端登录”，而不是无限重复。

主动踢人（用户手动管理）

这个通常作为上面两种法子的补充,增强用户体验，比如在账号设置里有个“查看登录设备”或者“退出其他设备登录”的按钮。

• 怎么实现：在Redis里，除了存Token和用户的对应关系，还可以在Token对应的Value里多存一点信息，比如登录时间、设备类型等。
• 当用户点击“退出其他设备”时：服务器根据当前登录用户的UserID，去Redis里找到所有属于他的Token（除了当前这次登录用的Token），然后把这些Token全部删除，这样，其他设备再访问时就会因Token失效而被强制重新登录。

几个必须要注意的靠谱细节：

1. Token得够随机：生成的Token必须是不可预测的，防止被别人猜出来，通常用安全的随机数算法生成。
2. 过期时间一定要设：这是Redis的看家本领，也是安全的关键，不能让一个登录状态永久有效，根据业务安全性要求，设置几分钟到几小时不等的过期时间，可以在用户持续活动时刷新这个过期时间。
3. 退出登录要清理：用户主动点击“退出登录”时，一定要记得去Redis里把对应的Token删除掉，不能光靠它自然过期。
4. 考虑极端情况：万一Redis整个挂掉了怎么办？所以系统设计上要有降级方案，比如Redis不可用时，是默认允许所有登录状态通过（有风险），还是严格一点全部要求重新登录（影响体验），需要根据业务来权衡。

用Redis防止重复登录,本质就是利用它集中存储、快速查询、自动过期的特性，来统一管理所有用户的登录“通行证”，核心逻辑就是让新的登录凭证使旧的失效，或者严格控制有效凭证的数量，具体用哪个法子，看你业务的实际情况——是允许多端登录，还是强制单端登录。

这事儿整靠谱了,不仅能提升账号安全性，防止账号被滥用在多处登录，也能让用户对自己的账号状态有更清晰的感知。