yuetsh
22a7700b89
WebSocket 巡检走的 touchSession 只 EXPIRE `session:<token>`，不碰
`user-sessions:<uid>`。而这条路径存在的理由恰恰是「只开着页面挂 WebSocket、一次
HTTP 请求都不发的人」—— 这种连接碰不到 getUserByToken 里那两条并排的 expire。
于是索引先到期、会话却被巡检一直续着。之后改密码 / 禁用账号走 revokeUserSessions
就 SMEMBERS 不到这张 token：WebSocket 那边还有 publishSessionRevoked 按 userId
兜底能断掉，但 HTTP 一侧拿着那张 cookie 照用不误 —— 而改密码要的恰恰是让 HTTP
立刻失效（学生密码是明文存着给老师查的，改密码是密码泄露后唯一的补救手段）。
签名加一个 userId，两条 EXPIRE 走一次 pipeline，仍然只有一趟往返，原来「比
GET + EXPIRE 少一趟」的理由保住了。三个调用点都有现成的 ws.data.userId。
返回值只看会话那条：反向索引是 498fc1c 才加的，在那之前签发的会话本来就没有索引
键，续不到是正常的，不能因此判定会话已死。
实跑验过四种情况：正常会话两边都续到 7 天；无索引键的存量会话仍判活；会话已删返回
false；空 token 返回 false。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01XvmqDsZNyUo9P3sFQtoWVB