feat: 会话管理 - 支持按设备粒度踢下线

- 新增 sessions 表，每次登录创建会话记录（记录 IP/UA）
- AuthMiddleware 改为基于 session 校验，可精确踢掉单个设备
- 自己改密码后踢掉其他设备，管理员改密码后踢掉该用户全部设备
- 新增 GET /api/me/sessions 查看活跃会话列表
- 新增 DELETE /api/me/sessions/:sessionId 踢掉指定会话
- 新增 DELETE /api/admin/users/:id/sessions 管理员强制下线某用户
- 兼容无 session_id 的旧 token，回退到 TokenInvalidBefore 校验

internal/handler/auth.go

@@ -2,12 +2,14 @@ package handler
 
 import (
 	"net/http"
+	"time"
 
 	"lmvpn/internal/db"
 	"lmvpn/internal/middleware"
 	"lmvpn/internal/model"
 
 	"github.com/gin-gonic/gin"
+	"github.com/google/uuid"
 	"golang.org/x/crypto/bcrypt"
 )
 
@@ -50,12 +52,25 @@ func Login(c *gin.Context) {
 		return
 	}
 
-	token, err := middleware.GenerateToken(user.ID, user.Username, user.Role)
+	sessionID := uuid.New().String()
+	token, err := middleware.GenerateToken(sessionID, user.ID, user.Username, user.Role)
 	if err != nil {
 		c.JSON(http.StatusInternalServerError, gin.H{"error": "生成令牌失败"})
 		return
 	}
 
+	session := model.Session{
+		SessionID: sessionID,
+		UserID:    user.ID,
+		IP:        c.ClientIP(),
+		UserAgent: c.GetHeader("User-Agent"),
+		ExpiresAt: time.Now().Add(24 * time.Hour),
+	}
+	if err := db.DB.Create(&session).Error; err != nil {
+		c.JSON(http.StatusInternalServerError, gin.H{"error": "创建会话失败"})
+		return
+	}
+
 	c.JSON(http.StatusOK, loginResponse{
 		Token: token,
 		User: userInfo{
@@ -102,11 +117,18 @@ func ChangePassword(c *gin.Context) {
 		return
 	}
 
-	if err := db.DB.Model(&user).Update("password", string(hash)).Error; err != nil {
+	now := time.Now()
+	if err := db.DB.Model(&user).Updates(map[string]interface{}{
+		"password":             string(hash),
+		"token_invalid_before": now,
+	}).Error; err != nil {
 		c.JSON(http.StatusInternalServerError, gin.H{"error": "密码修改失败"})
 		return
 	}
 
+	sessionID, _ := c.Get("session_id")
+	db.DB.Model(&model.Session{}).Where("user_id = ? AND session_id != ?", userID, sessionID).Update("invalid", true)
+
 	c.JSON(http.StatusOK, gin.H{"message": "密码修改成功"})
 }