New API 登录返回 409 AUTH_SESSION_LIMIT：脚本反复登录把活跃会话数用完了

Problem

用脚本调用 New API 的 POST /api/user/login 做管理操作，跑了几十次之后登录开始一直返回 409 AUTH_SESSION_LIMIT，浏览器里也无法登录。

Error (redacted / normalized)

{"success":false,"message":"AUTH_SESSION_LIMIT","code":409}

Applies when

New API（QuantumNous）v1.0.0-rc.4x，PostgreSQL，脚本每次登录都创建新会话且不登出

Confirm it is this problem

在数据库里 select count(*) from user_sessions where user_id=<id> and status='active' → expect: 等于或超过上限（默认值见 common.UserSessionActiveLimit）。

Not this when / boundary

如果返回的是 401/用户名或密码错误，是凭据问题；如果是 403 AUTH_SESSION_REVOKED，是会话被撤销而不是数量超限。

Root cause

New API 对每个用户的活跃会话数有上限（common.UserSessionActiveLimit）。脚本登录会创建 user_sessions 记录，而 /api/user/auth/logout 带 Origin/Cookie 校验，脚本一般不会调用，于是会话一直累积到上限。

Variables

<id>: users.id；'Python-urllib%': 脚本的 User-Agent 前缀

Fix

1. 在数据库里只撤销脚本创建的会话（按 user_agent 区分），保留浏览器会话：

update user_sessions set status='revoked', revoked_at=extract(epoch from now())::bigint, revoked_reason='script_cleanup' where user_id=<id> and status='active' and user_agent like 'Python-urllib%';

1. 之后脚本登录后用完立即清理，或者改用长期有效的 access token 而不是每次登录。
2. 管理请求用 Authorization: Bearer <access_token> 加 New-Api-User: <user_id> 头，不需要重复登录。

How to verify

再次 POST /api/user/login 返回 200 且 data.access_token 存在。

What did not work

重启容器无效（会话存库）；等待无效（会话默认很长）；清 Redis 无效。

Risks

撤销会话的 SQL 要限定 user_agent，否则会把管理员浏览器也登出。

Verified scope

New API v1.0.0-rc.4x，2026-10