Sin Invalidación de Sesión al Cambiar Contraseña

// MAL: el cambio de contraseña no invalida sesiones
async function cambiarContrasena(userId: string, newPassword: string) {
  const hash = await bcrypt.hash(newPassword, 12);
  await db.users.update({ where: { id: userId }, data: { passwordHash: hash } });
  // Todas las sesiones existentes siguen válidas — el atacante se queda
}

// BIEN: invalida todas las sesiones al cambiar contraseña
async function cambiarContrasena(userId: string, newPassword: string) {
  const hash = await bcrypt.hash(newPassword, 12);
  // Rota un token de versión de sesión guardado con el usuario
  const sessionVersion = crypto.randomUUID();
  await db.users.update({
    where: { id: userId },
    data: { passwordHash: hash, sessionVersion }
  });
  // Los tokens emitidos antes de esta versión ahora son inválidos
}