ユーザーが誰かわからない場合、ログアウトさせるには?

この点についてもう少し詳しく教えていただけますか?あなたのアプリのセッションの有効期限はどのくらいですか?セッションの期限切れはどのように処理していますか?

Discourseには「最大セッション期間」という設定があり、デフォルトでは1440時間(60日)に設定されています。

結論から言うと、パソコンの前にいるユーザーが入れ替わったかどうかを把握できない限り、それを防ぐ簡単な方法はありません。セッションの有効期限を短く設定するか、アプリから定期的にログアウトを呼び出すこともできますが、その場合、ユーザーが長時間パソコンを使用していると、認証フローを再度通過する必要が出てきてしまいます。

Discourseは現在利用しているログインおよびセッションフローを拡張できますが、上記の詳細が不明なため、問題の所在や改善の機会を特定するのは難しい状況です。