改了密码为什么对方还能进来？按顺序切断未授权访问

改密码只换掉了下次用密码登录时要输入的那串字符。对方可能还登录在某台设备上，可能有第三方应用拿到过授权，也可能在账号里留了自己的恢复邮箱和手机号。在很多平台上，这些通道不会因为你改了密码就自动关闭。所以改密码只是第一步，后面还要把会话、授权和恢复入口一个个关掉。

先看现象，判断对方是从哪条路进来的

对方一直在线，从没掉线过：多半是旧的登录会话还有效。对方用的是之前登录时留下的凭证，不需要输入新密码。
网页上已经踢掉了，邮件却还在被同步，第三方工具也还在发内容：说明还有应用授权或应用专用密码没撤销。这类访问和网页登录密码是分开管理的。
改完密码没多久，密码又被改了，或者你自己被挤下线：说明账号里还留着对方能用的恢复手段，比如他添加的辅助邮箱、手机号、两步验证方式，或者能把验证码转发给他的邮件规则。

这三种情况可能同时存在。排查时最好全部过一遍，不要只处理看到的那一种。

改密码只挡住密码登录，会话、授权和恢复入口要分别关闭

现在大多数平台登录成功后，会给设备发一个会话凭证（Cookie 或令牌）。之后设备靠这个凭证保持登录，不会每次都重新核对密码。常见做法是用短期的访问令牌配合长期的刷新令牌或持久化 Cookie。服务端要是没有在改密码时主动吊销这些会话，现有的客户端就能一直用到凭证过期。

各平台的处理方式不一样：

Facebook、Instagram 等 Meta 产品：改密码时一般会问你要不要“退出其他设备”。跳过或没确认的话，其他手机和电脑上的登录会保持原样。
Telegram：多个客户端各自独立同步。改两步验证密码（Cloud Password）不会踢掉其他在线的客户端，要到“设置 → 设备”里点“终止所有其他会话”。
Google：改密码时会自动撤销一部分访问邮件的第三方授权，但不能因此认为所有设备和授权都清干净了，还是要到设备和第三方访问列表里逐条核对。
企业版 Microsoft 365 和 Google Workspace 账号：管理员可以在后台撤销这个用户的全部会话。不过已经发出的短期访问令牌可能要等过期才失效，紧急情况下一般会同时重置密码，必要时先停用账号。

改密码时选择退出其他设备。有这个选项就勾上。这一步能清掉大部分已登录的会话。
到已登录设备页面逐个检查。Google 账号在“安全 → 你的设备”里管理所有设备，Telegram 在“设置 → 设备”里，Meta 产品在账号的密码和安全设置里看登录位置。不是你自己的设备都退出登录，看不出是谁的也先退出。
撤销第三方应用和应用专用密码。在安全设置里找已关联的第三方应用和应用专用密码，不认识或已经不用的全部删掉。邮件客户端如果是通过 IMAP/SMTP 加应用专用密码连接的，网页端踢下线也不影响它继续收信。
核对恢复方式和两步验证。辅助邮箱、绑定手机号、验证器 App、备用验证码、安全密钥，逐项确认都是你自己的。只要有一项是对方的，他就能走找回流程把账号重新拿回去。
检查邮箱的转发和过滤规则。看有没有自动转发到陌生地址的规则，有没有把安全提醒、验证码邮件自动删除或归档的过滤器。对方常靠这类规则悄悄收到你的重置邮件，你自己却看不到。
做完后再看一次。过一段时间回到设备列表和登录记录，确认只剩自己的设备，最近的登录也都是你本人。

第 4、5 步最容易漏掉。会话和授权只决定对方现在能不能用，恢复入口决定他以后还能不能回来。