如何使用express-session实现单活跃会话（仅最新会话有效）

你需要实现用户仅保留最新活跃会话，自动作废并清理旧会话，原有思路的问题是只拒绝了旧会话请求但未清理数据库中的旧会话，以下是更完整的解决方案：

方案一：登录时主动清理旧会话 + 会话验证时校验活跃状态 #

这个方案能彻底解决旧会话残留问题，同时保证会话唯一性，步骤如下：

1. 登录流程改造 #

验证用户身份通过后，先清理该用户所有旧会话，再创建新会话并更新用户的活跃会话ID：

app.post('/login', async (req, res) => {
  // 1. 用户身份验证逻辑（示例）
  const user = await User.findOne({ username: req.body.username });
  if (!user || !(await bcrypt.compare(req.body.password, user.password))) {
    return res.status(401).send('用户名或密码错误');
  }

  // 2. 批量删除该用户所有旧会话（跳过即将创建的新会话）
  const sessionCollection = req.sessionStore.collection;
  await sessionCollection.deleteMany({ 
    userId: user._id.toString(), 
    _id: { $ne: req.session.id } // 避免误删刚创建的新会话
  });

  // 3. 绑定用户ID到新会话
  req.session.userId = user._id.toString();
  await req.session.save();

  // 4. 更新用户文档中的活跃会话ID
  await User.findByIdAndUpdate(user._id, { activeSessionID: req.session.id });

  res.send('登录成功');
});

2. 会话验证中间件 #

每次请求时校验当前会话是否为用户的活跃会话，若不是则销毁旧会话并拒绝请求：

app.use(async (req, res, next) => {
  if (!req.session.userId) return next();

  const user = await User.findById(req.session.userId);
  if (!user) {
    await req.sessionStore.destroy(req.session.id);
    return res.status(401).send('用户不存在，请重新登录');
  }

  // 校验当前会话是否为活跃会话
  if (user.activeSessionID !== req.session.id) {
    await req.sessionStore.destroy(req.session.id);
    return res.status(401).send('会话已过期，请重新登录');
  }

  next();
});

方案优势 #

• 彻底清理数据库中的旧会话，避免无效数据堆积
• 双重校验（登录时清理+请求时验证），确保会话唯一性
• 批量删除操作比遍历销毁性能更优，适合用户会话较多的场景

方案二：结合TTL索引自动清理旧会话（可选补充） #

如果希望进一步优化，可以给会话集合添加TTL索引，配合活跃会话ID实现自动过期：

1. 给会话集合的expires字段添加TTL索引（connect-mongo默认会处理，但可手动确认）
2. 在登录时，除了更新用户的activeSessionID，还可以将旧会话的expires字段设为当前时间，触发TTL自动清理：

await sessionCollection.updateMany(
  { userId: user._id.toString(), _id: { $ne: req.session.id } },
  { $set: { expires: new Date() } }
);

这个方案适合不想主动调用销毁方法的场景，但主动清理的实时性更好。

内容的提问来源于stack exchange，提问作者IT Forever