基于身份验证在Node.js RedisIo存储中设置唯一用户ID的问题

问题根源在于你手动操作Redis时使用了固定键redisUserID存储用户ID，所有登录用户都会读写这个相同的键，导致新用户登录后覆盖旧用户的ID值。实际上express-session结合RedisStore本身已经为每个用户维护了独立的会话空间，完全不需要手动操作Redis来存储用户ID。

修复步骤 #

1. 删除手动存储用户ID的Redis代码 #

直接移除redis.set('redisUserID', idString)这一行，用户登录成功后将信息存入req.session.user，RedisStore会自动把会话数据保存到Redis中，每个用户的会话对应唯一的存储键，不会互相覆盖。

2. 修改/home接口获取当前用户ID #

不需要手动从Redis读取固定键，express-session会根据请求携带的cookie自动加载当前用户的会话数据，直接从req.session.user中获取即可：

app.get('/home', async (req,res) => {
    // 先校验用户是否已登录
    if (!req.session.user) {
        return res.status(401).json({ message: '未登录' });
    }
    const userID = req.session.user.simpleID;
    console.log(userID);
    res.json({ userId: userID });
})

3. 确认会话配置的合理性 #

你的session配置基本正确，注意两个细节：

• key: "userId"是前端cookie的名称，并非Redis中的存储键，RedisStore会自动用会话ID作为键存储数据，保证每个用户会话独立。
• saveUninitialized: false配置正确，只有当会话被修改（比如登录后设置req.session.user）时才会写入Redis，避免空会话占用资源。

修改后的完整关键代码 #

// 登录接口
app.post('/login', async (req, res) => {
    const username = req.body.username
    const password = req.body.password

    const loginObj = {
        username: username,
        password: password
    }

    try {
        const loginRequest = await axios.post('https://login-ep.com', loginObj)
        const loginResponse = loginRequest.data

        if (loginResponse.authenticated) {
            // 将用户信息存入会话，RedisStore自动同步到Redis
            req.session.user = loginResponse

            const authMessage = {
                message: '登录成功',
                user: { simpleID: loginResponse.simpleID } // 仅返回必要信息，避免敏感数据泄露
            }

            res.status(200).json(authMessage)
        } else {
            res.status(401).json({ message: '身份验证失败' });
        }
    } catch (error) {
        res.status(500).json({ message: '登录请求失败' });
    }
});

// 首页接口
app.get('/home', async (req,res) => {
    if (!req.session.user) {
        return res.status(401).json({ message: '请先登录' });
    }
    const userID = req.session.user.simpleID;
    console.log('当前用户ID:', userID);
    res.json({ userId: userID });
})

核心原理 #

express-session通过以下机制实现用户隔离：

• 用户首次登录时，系统生成唯一的sessionID，并通过HTTP cookie发送给前端。
• 前端后续请求会自动携带该cookie，express-session根据sessionID从Redis中加载对应的会话数据，因此每个用户只能访问自己的req.session数据，不会出现数据泄露或互相覆盖的问题。

内容的提问来源于stack exchange，提问作者user22425765