Express+Passport Local部署IISNode后多用户会话串号问题求助

一、先检查Express会话核心配置 #

确认express-session的配置是否存在以下问题：

• 会话密钥（secret）：生产环境必须使用固定且唯一的密钥，不要用动态生成内容或默认值，可通过环境变量注入确保iisnode环境下所有实例共享同一密钥。示例配置：

app.use(session({
  secret: process.env.SESSION_SECRET || 'your-fixed-secure-secret',
  resave: false,
  saveUninitialized: false,
  store: MongoStore.create({ mongoUrl: process.env.MONGO_URI }),
  cookie: {
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production', // HTTPS环境下开启
    maxAge: 24 * 60 * 60 * 1000,
    sameSite: 'lax', // 避免跨站Cookie意外共享
    domain: process.env.COOKIE_DOMAIN || 'your-app-domain.com' // 明确Cookie生效域名，禁止宽泛设置
  }
}));

• Cookie配置：重点核查domain和sameSite属性。domain设置错误会导致Cookie跨浏览器/设备共享；sameSite设为lax或strict可规避跨站请求时的Cookie异常携带。
• resave和saveUninitialized：必须设为false，减少不必要的会话存储操作，降低冲突概率。

二、排查Passport身份认证配置 #

确认序列化/反序列化逻辑正确，保证每个用户会话数据独立：

// 序列化用户，仅存储用户ID
passport.serializeUser((user, done) => {
  done(null, user.id);
});

// 反序列化用户，通过ID查询用户数据
passport.deserializeUser(async (id, done) => {
  try {
    const user = await User.findById(id);
    done(null, user);
  } catch (err) {
    done(err);
  }
});

• 登录路由中，避免手动修改req.session，确保passport.authenticate逻辑正常：

app.post('/login', passport.authenticate('local', {
  successRedirect: '/dashboard',
  failureRedirect: '/login',
  failureFlash: true
}));

自定义登录逻辑时，调用req.login(user, (err) => { ... })后需正确结束响应，禁止重复发送Cookie。

三、检查IISNode环境配置 #

1. 进程模式设置：在web.config中先尝试单进程运行，排除多进程会话冲突：

<iisnode nodeProcessCountPerApplication="1" />

若必须使用多进程，需在ARR（Application Request Routing）的服务器农场设置中开启会话亲和性，确保同一用户请求始终路由到同一进程。

2. 反向代理Cookie传递：使用ARR反向代理时，检查URL重写规则，确保Cookie请求头和响应头的Set-Cookie未被修改或覆盖，保证会话ID正常传递。

3. 静态文件缓存：禁止IIS缓存Express动态路由内容，避免会话相关响应被错误缓存。

四、验证Connect-Mongo会话存储 #

• 登录MongoDB查看会话集合（默认sessions），确认每个会话文档的sessionID唯一，且对应不同用户ID。
• 若怀疑会话ID生成重复，可手动指定genid函数确保唯一性：

const uid = require('uid-safe');
app.use(session({
  genid: (req) => uid.sync(18),
  // 其他配置...
}));

五、测试步骤 #

1. 切换iisnode为单进程运行，验证会话串号是否消失，排查多进程亲和性问题。
2. HTTPS环境下开启cookie.secure: true，避免Cookie明文传输篡改。
3. 清除所有浏览器Cookie后重新测试，排除旧Cookie干扰。

内容的提问来源于stack exchange，提问作者dinhit