Properly revoke OAuth sessions when revoking all user sessions.

api/user.go

@@ -466,10 +466,14 @@ func RevokeAllSession(c *Context, userId string) {
 
 		for _, session := range sessions {
 			c.LogAuditWithUserId(userId, "session_id="+session.Id)
-			sessionCache.Remove(session.Token)
+			if session.IsOAuth {
-			if result := <-Srv.Store.Session().Remove(session.Id); result.Err != nil {
+				RevokeAccessToken(session.Token)
-				c.Err = result.Err
+			} else {
-				return
+				sessionCache.Remove(session.Token)
+				if result := <-Srv.Store.Session().Remove(session.Id); result.Err != nil {
+					c.Err = result.Err
+					return
+				}
 			}
 		}
 	}