navicat cloud 无法强制登出设备，因其仅为轻量同步服务，不托管会话或维护设备连接；真正有效的防护需依赖临时凭证、内网部署on-prem server及数据库代理层管控。

Navicat Cloud 本身无法主动踢出或禁用已登录设备，离职员工只要保有有效会话和账号凭证，就能继续访问同步的连接信息——这是它设计上的根本限制。

为什么 Navicat Cloud 不提供“强制登出设备”功能

Navicat Cloud 的定位是轻量级同步服务，不是企业级身份管理平台。它不托管用户会话状态，也不维护设备长连接；所有同步依赖客户端本地 token 自动刷新。这意味着：

• 服务器端无法感知某台设备是否“还在用”，更无法主动撤销其访问权限
• 删除某个连接或查询后，只要员工本地 Navicat 还没同步该变更，他仍能看到旧数据
• 即使你重置密码，若员工提前导出了 connections.ncx 或手动备份了连接配置，依然能连上数据库（因为 Navicat Cloud 不存密码）

真正起效的三道防线必须在组织层面落地

靠 Navicat Cloud 单点控制离职风险注定失败。关键动作要落在基础设施和流程上：

navicatmysql

Navicat For MySQL

下载

• 所有数据库连接必须使用临时凭证：比如 PostgreSQL 的 pgbouncer + JWT 短期 token，或 MySQL 的动态密码策略（如 Percona PAM + LDAP 绑定），确保账号一注销就立即失效
• 禁用 Navicat Cloud 的团队共享空间，改用 Navicat On-Prem Server 部署在内网，由 IT 统一管控账号生命周期（AD/LDAP 同步、自动停权）
• 在数据库防火墙或代理层（如 ProxySQL、HAProxy）设置 IP 白名单 + 源标识校验，让“谁在连”可审计、“连不上”可快速阻断

如果只能用 Navicat Cloud，至少做这两件事

作为过渡手段，降低残留风险：

• 立即从 Navicat Cloud 控制台移除该员工的协作邀请，并在 Settings → Team Members 中取消其成员资格（注意：这仅阻止新增同步，不清理已有缓存）
• 要求全员在本地 Navicat 中执行 File → Cloud → Reset Local Cache，再手动删除 %APPDATA%\PremiumSoft\NavicatCloud\（Windows）或 ~/Library/Application Support/PremiumSoft/NavicatCloud/（macOS）下的全部文件

最常被忽略的一点：Navicat Cloud 不存密码，但员工可能早把密码写进本地脚本、终端历史或笔记软件里。权限回收必须覆盖所有这些“影子存储点”，而不是只盯着云同步开关。