调用req.session.destroy后如何从MongoDB删除Express Session？

已完成express-session创建及与MongoStore的连接，但调用req.session.destroy()后，控制台提示会话销毁成功，MongoDB中的会话对象却未被删除。使用的依赖版本：

• connect-mongo: ^5.0.0
• express-session: ^1.17.3

相关代码如下：

会话配置代码 #

function getSessionStoreURL() {
    const env = app.get("env");
    if (env === "development") {
        return process.env.DEV_DB;
    }
    return process.env.PROD_DB;
}

app.use(
    session({
        secret: SESSIONS_SECRET,
        resave: false,
        saveUninitialized: false,
        cookie: { secure: true },
        store: MongoStore.create({ mongoUrl: getSessionStoreURL() })
    })
);

创建会话函数 #

function createNewUserSession(req, userId, moreUserData) {
    try {
        const session = req.session;
        session.userId = userId;
        session.moreUserData = moreUserData;
        session.save();
        //...省略部分异步代码
    } catch (e) { }
}

销毁会话函数 #

async destroySession(req) {
    req.session.destroy((err) => {
        if (err) {
            console.log('Error destroying session:', err);
        } else {
            console.log('Session destroyed');
        }
    });
}

需求：调用req.session.destroy()后立即删除MongoDB中的会话对象。

1. 修复异步函数逻辑 #

destroySession声明为async但未正确处理回调式的req.session.destroy，改成Promise封装确保等待异步操作完成，调用时需加await：

async function destroySession(req) {
    return new Promise((resolve, reject) => {
        req.session.destroy((err) => {
            if (err) {
                console.log('Error destroying session:', err);
                reject(err);
            } else {
                console.log('Session destroyed');
                resolve();
            }
        });
    });
}

// 修改密码路由中调用
await destroySession(req);

2. 动态配置Cookie的secure属性 #

Cookie设置secure: true时，仅HTTPS请求会携带Cookie。开发环境若用HTTP访问，浏览器不发送Cookie，req.session为空对象，destroy()无法删除会话。根据环境动态设置：

app.use(
    session({
        secret: SESSIONS_SECRET,
        resave: false,
        saveUninitialized: false,
        cookie: { 
            secure: app.get("env") === "production", // 仅生产环境开启
            httpOnly: true,
            sameSite: 'strict'
        },
        store: MongoStore.create({ mongoUrl: getSessionStoreURL() })
    })
);

3. 验证会话ID一致性 #

销毁前打印req.sessionID，确认与MongoDBsessions集合中的会话ID匹配，若ID不存在说明请求未携带有效Cookie：

async function destroySession(req) {
    console.log('Current session ID:', req.sessionID);
    return new Promise((resolve, reject) => {
        req.session.destroy((err) => {
            if (err) {
                console.log('Error destroying session:', err);
                reject(err);
            } else {
                console.log('Session destroyed');
                resolve();
            }
        });
    });
}

4. 排查MongoStore连接状态 #

在MongoStore配置中添加日志，检查连接是否正常：

store: MongoStore.create({ 
    mongoUrl: getSessionStoreURL(),
    logger: console, // 打印存储操作日志
    ttl: 86400 // 可选：设置会话过期时间（秒）
})

5. 手动删除会话（兜底方案） #

若上述方法无效，可通过MongoStore实例手动删除会话：
首先保存MongoStore实例：

const sessionStore = MongoStore.create({ mongoUrl: getSessionStoreURL() });

app.use(
    session({
        secret: SESSIONS_SECRET,
        resave: false,
        saveUninitialized: false,
        cookie: { secure: app.get("env") === "production" },
        store: sessionStore
    })
);

修改销毁函数添加兜底逻辑：

async function destroySession(req) {
    return new Promise((resolve, reject) => {
        req.session.destroy(async (err) => {
            if (err) {
                console.log('Error destroying session via express:', err);
                // 手动从Mongo删除会话
                try {
                    await sessionStore.destroy(req.sessionID);
                    console.log('Session manually deleted from Mongo');
                    resolve();
                } catch (mongoErr) {
                    console.log('Error manually deleting session:', mongoErr);
                    reject(mongoErr);
                }
            } else {
                console.log('Session destroyed');
                resolve();
            }
        });
    });
}

内容的提问来源于stack exchange，提问作者ololo