【免评审】禁用用户时支持同步中止用户登录态

[neronkl]

用文字描述你遇到的问题

某个用户进行登录后会签发token，但是管理员将该用户进行禁用，该用户仍能正常使用平台功能

重现方法
前置：打开两个页面，开启无痕模式

1. 登录测试用户testerA
2. 管理员禁用用户testerA
   
3. testerA所在页面仍能使用平台功能
   

预期行为
异常状态用户无法使用平台功能，即设置异常状态后，该用户的token应该失效

版本

• 2.5.1
• 企业版问题

如果是 SaaS 页面问题，请提供使用的操作系统和浏览器信息

• OS: [e.g. iOS]
• Browser [e.g. chrome, safari]
• Version [e.g. 22]

额外信息

任何你觉得有助于问题解决的内容

[pagezz-canway]

禁用用户常用在发现安全风险时，此时应该立刻刷新数据库中的token，确保用户不能进行任何操作。（如果后续能实现账号禁止多地登录和主动踢出，也是可行的方案）

[Xmandon]

需要主动踢出某个在线用户

[wklken]

需要注意: 用户可能签发了bk_token被第三方持有在做一些异步任务/脚本执行类任务, 此时回收后, 那些任务将直接失败

[Shutulee]

1、管理员选择禁用某用户
->二次确认，告知管理员这次禁用的影响范围。
->提供两种禁用逻辑：
a、仅用并踢出。刷新用户的登录态token，禁用用户的同时，立即将用户踢出登录。（有风险）
b、仅禁用。仅将用户状态更改为禁用状态。不对用户登录态做处理，自动等待用户token24小时后失效（或2小时无操作，也会自动失效）。

[Xmandon]

1、管理员选择禁用某用户 ->二次确认，告知管理员这次禁用的影响范围。 ->提供两种禁用逻辑： a、立即生效。刷新用户的登录态token，禁用用户的同时，立即将用户踢出登录。（有风险） b、仅禁用。仅将用户状态更改为禁用状态。不对用户登录态做处理，自动等待用户token24小时后失效（或2小时无操作，也会自动失效）。

文案直接点：禁用并踢出、仅禁用

[EchoQT]

禁用某账号却不马上踢出的合理性在哪里？对于一个已经被非法的账号，为何还可以在各系统中正常使用n个小时？

[Canway-shiisa]

采用<禁用并踢出>的方案、<仅禁用>方案废弃

[Shutulee]

1、管理员选择禁用某用户
->二次确认，告知管理员这次禁用的影响范围。
->提供两种禁用逻辑：
a、仅用并踢出。刷新用户的登录态token，禁用用户的同时，立即将用户踢出登录。（有风险）
b、仅禁用。仅将用户状态更改为禁用状态。不对用户登录态做处理，自动等待用户token24小时后失效（或2小时无操作，也会自动失效）。

更改后方案：
1、禁用直接踢出登录，不考虑仅禁用的情况。

[EchoQT]

ok

[Canway-shiisa]

方案：
bklogin登录模块增加一个注销指定用户token的接口，在用户管理对用户进行禁用时增加该注销接口的调用
细节：

1. bklogin-api模块下增加接口和逻辑：accounts/logout
2. 由于超管在用户管理侧禁用用户时需要做的非踢出自己的token，而是对应用户的token，通过用户名直接反查token困难，这里选择在login_bktoken增加用户名标识（同时调整生成token的逻辑 新增一个用户名写入）

[nannan00]

方案： bklogin登录模块增加一个注销指定用户token的接口，在用户管理对用户进行禁用时增加该注销接口的调用 细节：

1. bklogin-api模块下增加接口和逻辑：accounts/logout
2. 由于超管在用户管理侧禁用用户时需要做的非踢出自己的token，而是对应用户的token，通过用户名直接反查token困难，这里选择在login_bktoken增加用户名标识（同时调整生成token的逻辑 新增一个用户名写入）

表里增加了用户名标识会导致信息泄露，降低了安全性，非必要不可使用该方式，建议调研一下是否有其他方案