会话结束时如何清理MongoDB中的非持久服务器端会话信息？

核心思路：给非持久会话设置自动过期机制 #

无需更换现有认证架构，也不用单独为非持久会话搭建新认证方式，针对当前问题做以下调整即可：

1. 给非持久会话配置MongoDB TTL索引 #

当用户未勾选「保持登录」时，除了返回无过期时间的浏览器cookie（让浏览器关闭即清除），同时给数据库中的该会话文档添加createdAt字段（存储会话创建时间），并为会话集合创建TTL索引，让MongoDB自动删除超过指定时长的非持久会话：

// 在MongoDB会话集合上创建TTL索引，设置24小时后自动过期
db.sessions.createIndex({ createdAt: 1 }, { expireAfterSeconds: 86400 })

注：持久会话（勾选保持登录的）可以保留原有的expiresAt字段，不受此TTL索引影响。

2. 会话活跃时刷新过期时间 #

用户在网站活跃期间（比如发送请求），更新会话文档的createdAt字段，延长自动过期时间，避免用户正常使用时会话被误删：

// 认证中间件中添加会话刷新逻辑
app.use(async (req, res, next) => {
  const sessionId = req.cookies.sessionId;
  if (sessionId) {
    const session = await Session.findOne({ sessionId });
    if (session && !session.expiresAt) {
      // 仅针对非持久会话更新创建时间
      session.createdAt = new Date();
      await session.save();
    }
    // 附加用户ID到请求等原有逻辑...
  }
  next();
});

3. 补充定时清理脚本（可选） #

如果担心MongoDB TTL索引的清理延迟，可以用Node.js定时任务工具（如node-schedule），定期清理数据库中超过指定时长的非持久会话：

const schedule = require('node-schedule');
const Session = require('./models/Session');

// 每天凌晨2点清理创建超过24小时的非持久会话
schedule.scheduleJob('0 0 2 * * *', async () => {
  const cutoffTime = new Date(Date.now() - 24 * 60 * 60 * 1000);
  await Session.deleteMany({
    createdAt: { $lt: cutoffTime },
    expiresAt: null // 标识为非持久会话
  });
});

关于现有架构的说明 #

当前基于HttpOnly Cookie的会话认证架构是安全且成熟的，非持久会话的堆积只是资源清理层面的问题，不存在架构缺陷。通过上述自动过期+定时清理的方案，既能保持两种登录模式的一致性，又能彻底解决数据库会话堆积问题。

内容的提问来源于stack exchange，提问作者Joshua Bunzel