New API 登录返回 409 AUTH_SESSION_LIMIT：脚本反复登录把活跃会话数用完了

问题

用脚本调用 New API 的 POST /api/user/login 做管理操作，跑了几十次之后登录开始一直返回 409 AUTH_SESSION_LIMIT，浏览器里也无法登录。

报错原文（已脱敏/规范化）

{"success":false,"message":"AUTH_SESSION_LIMIT","code":409}

适用环境

New API（QuantumNous）v1.0.0-rc.4x，PostgreSQL，脚本每次登录都创建新会话且不登出

如何确认是这个问题

在数据库里 select count(*) from user_sessions where user_id=<id> and status='active' → expect: 等于或超过上限（默认值见 common.UserSessionActiveLimit）。

不是这个问题时 / 边界

如果返回的是 401/用户名或密码错误，是凭据问题；如果是 403 AUTH_SESSION_REVOKED，是会话被撤销而不是数量超限。

根因

New API 对每个用户的活跃会话数有上限（common.UserSessionActiveLimit）。脚本登录会创建 user_sessions 记录，而 /api/user/auth/logout 带 Origin/Cookie 校验，脚本一般不会调用，于是会话一直累积到上限。

占位变量

<id>: users.id；'Python-urllib%': 脚本的 User-Agent 前缀

修复步骤

1. 在数据库里只撤销脚本创建的会话（按 user_agent 区分），保留浏览器会话：

update user_sessions set status='revoked', revoked_at=extract(epoch from now())::bigint, revoked_reason='script_cleanup' where user_id=<id> and status='active' and user_agent like 'Python-urllib%';

1. 之后脚本登录后用完立即清理，或者改用长期有效的 access token 而不是每次登录。
2. 管理请求用 Authorization: Bearer <access_token> 加 New-Api-User: <user_id> 头，不需要重复登录。

如何验证

再次 POST /api/user/login 返回 200 且 data.access_token 存在。

试过没用的办法

重启容器无效（会话存库）；等待无效（会话默认很长）；清 Redis 无效。

风险提示

撤销会话的 SQL 要限定 user_agent，否则会把管理员浏览器也登出。

验证范围

New API v1.0.0-rc.4x，2026-10