用户需能查看活跃会话
别名: 登录设备列表 · session list · 在线设备
概念解释
同一账号在手机、电脑、平板、网页上同时持有有效会话时，人往往不知道还有谁在线。查看活跃会话指在账号安全设置里列出当前仍被服务器承认的会话：设备或浏览器粗略名、大致地点、最近活动时间、哪一条是「正在看的这台」。这条只解决可见，不包含远程点结束，也不包含系统主动推送异常登录。
机制
会话是服务器上的授权状态，设备本地没有一张自然的「全家福」。人用完图书馆电脑或卖旧手机之后，以为关了窗口就等于退出，会话令牌仍活着。没有列表，异常占用只能靠账单、私信已读这种副作用发现，滞后且含糊。列表把不可见的并行登录收成可再认的条目，人才能把「我记得的设备」和「我不认得的条目」对照。条目必须足够区分（不能全是「Chrome 上的 Windows」），又不能精确到可被旁观者用来跟踪行程的程度。当前会话要标出，否则人会把自己踢下线。
怎么研究
给多设备账号，比较有无会话列表时，人发现「还有另一台在线」的时间和准确率。
自变量：列表是否存在、字段（设备名、地点、时间、当前标记）、刷新是实时还是打开页时快照。 因变量：正确指认陌生会话的比例、误把当前会话当成陌生的比例、从进入设置到找到列表的时间。
实验室设备少、名称干净，真实列表里会有大量「未知设备」和 VPN 错位地点。地点不准会降低信任，测量时要把「字段错」和「人找不到入口」分开。不要把点击「安全设置」当成功——要看人是否能数出正确的会话个数。
边界
企业由 IdP 集中管理会话时，应用内列表可能只是只读镜像，入口应指向 IdP。临时验证码登录若未形成持久会话，不应出现在「活跃设备」里以免制造幽灵行。隐私敏感用户会反对精确地理位置，粗略到城市或「大致区域」通常够做再认。儿童账号与被监护账号的列表对谁可见，是监护模型问题，不能默认给孩子看家长的全部设备。
怎么落地
- 在账号安全或设置中提供「已登录的设备 / 会话」页，列出粗略设备名、大致地点、最近活动，并标记当前会话。
- 名称优先用设备自己报的型号或用户起过的名字；报不出来时用浏览器与操作系统，不要只写「会话 #4」。
- 打开页时拉取服务器真相，并注明「可能有几分钟延迟」，避免人以为列表是加密聊天那种在线指示。
- 验证：在第二台设备登录后，让未参与设计的人在第一台找到列表并指出新增的那一行；再问「哪一行是你正在用的」。找不到入口、数错行数或指错当前会话即失败。