如何通过管理员面板将指定用户会话设为永久登录？（Node/Express/Redis）

我开发了一个基于Node.js、Express.js、express-session和Redis的应用，尽管未设置maxAge或expires参数，但登录状态仍会在一段时间后超时。

1. 通过管理员面板查看当前所有会话（已实现从Redis中获取sess:*键），并可点击会话对应的「永久保留」按钮，使目标用户的登录状态永久有效。
2. 需要可靠的方法将Redis中sess:...存储的会话数据关联到用户（或浏览器实例）的唯一标识，同时支持跨浏览器操作——即管理员在自身浏览器操作，让目标用户的登录状态永不失效。
3. 考虑方案：用户登录时将签名信息存储到永久数据库，会话校验时同步检查该数据库，必要时重建已认证会话。

const express = require('express') // v4.17.1
const app = express()
const redis = require('redis') // v4.5.1
const expressSession = require('express-session') // v1.17.2
const RedisStore = require('connect-redis')(expressSession) // v3.4.2
const redisClient = redis.createClient({ legacyMode: true })
redisClient.connect()
const session = expressSession({
    store: new RedisStore({ client: redisClient }),
    saveUninitialized: true,
    secret: 'xxxxxxx',
    resave: true
})
app.use(session)

一、先解决「未设参数仍超时」的原因 #

你遇到的默认超时是因为connect-redis v3版本会给未指定cookie.maxAge的会话默认设置24小时的TTL，即使express-session本身的cookie.maxAge默认是null（表示会话随浏览器关闭失效）。Redis会自动删除到期的会话键，导致登录状态超时。

二、实现「永久保留会话」的完整流程 #

1. 会话与用户/设备的关联优化 #

在用户登录成功时，将用户ID和可选的设备标识存入会话，这样Redis中的sess:*数据就能明确关联到具体用户：

// 登录接口示例
app.post('/login', (req, res) => {
  // 假设验证用户账号密码成功，获取用户信息
  const user = { id: 'user_123', username: 'xxx' };
  // 生成设备标识（可选，从请求头提取或生成唯一值）
  const deviceId = req.cookies.deviceId || generateUniqueId();
  
  // 存储到会话
  req.session.user = user;
  req.session.deviceId = deviceId;
  
  // 可选：将设备标识存入永久Cookie，有效期设为1年
  if (!req.cookies.deviceId) {
    res.cookie('deviceId', deviceId, { maxAge: 365 * 24 * 60 * 60 * 1000, httpOnly: true });
  }
  
  // 可选：将用户-设备关联记录到永久数据库（如MySQL）
  db.query('INSERT INTO user_devices (user_id, device_id) VALUES (?, ?) ON DUPLICATE KEY UPDATE updated_at=NOW()', [user.id, deviceId]);
  
  res.send('登录成功');
});

// 生成唯一设备ID的工具函数
function generateUniqueId() {
  return require('crypto').randomUUID();
}

2. 管理员面板的「永久保留」操作 #

当管理员点击按钮时，后端接收目标会话的ID（或用户ID），执行两个操作：

• 给Redis中的对应会话键移除TTL（设为永久）
• 在永久数据库中标记该用户的会话为永久有效

// 管理员设置永久会话接口
app.post('/admin/make-session-permanent', async (req, res) => {
  const { sessionId, userId } = req.body;
  
  try {
    // 1. 移除Redis会话的TTL
    if (sessionId) {
      await redisClient.PERSIST(`sess:${sessionId}`);
    } else if (userId) {
      // 如果是按用户ID批量处理，先查询该用户的所有会话键
      const keys = await redisClient.KEYS(`sess:*`);
      for (const key of keys) {
        const sessionData = await redisClient.GET(key);
        const parsed = JSON.parse(sessionData);
        if (parsed.user?.id === userId) {
          await redisClient.PERSIST(key);
        }
      }
    }
    
    // 2. 在永久数据库标记该用户为永久会话状态
    await db.query('UPDATE users SET is_permanent_session = 1 WHERE id = ?', [userId]);
    
    res.send('会话已设为永久有效');
  } catch (err) {
    res.status(500).send('操作失败：' + err.message);
  }
});

3. 会话校验与自动重建 #

添加全局中间件，在每次请求时检查会话有效性，若会话失效但用户标记为永久有效，则自动重建会话：

app.use(async (req, res, next) => {
  // 如果会话已失效，但存在设备标识Cookie
  if (!req.session.user && req.cookies.deviceId) {
    const deviceId = req.cookies.deviceId;
    // 从永久数据库查询该设备对应的用户，且用户是否开启永久会话
    const [rows] = await db.query('SELECT u.* FROM user_devices ud JOIN users u ON ud.user_id = u.id WHERE ud.device_id = ? AND u.is_permanent_session = 1', [deviceId]);
    
    if (rows.length > 0) {
      // 重建会话
      req.session.user = rows[0];
      req.session.deviceId = deviceId;
      // 给新会话设置永久TTL（Redis中移除TTL）
      const sessionId = req.session.id;
      await redisClient.PERSIST(`sess:${sessionId}`);
    }
  }
  next();
});

4. 调整会话配置（可选） #

为了更清晰控制会话行为，可显式设置cookie参数，并关闭resave（避免不必要的会话更新）：

const session = expressSession({
    store: new RedisStore({ 
      client: redisClient,
      // 若不设置ttl，connect-redis会默认用cookie.maxAge，否则用这里的ttl
      // ttl: 86400 // 24小时，默认值
    }),
    saveUninitialized: false, // 只保存已初始化的会话（登录后的会话）
    secret: 'xxxxxxx',
    resave: false, // 避免无变化时重复保存会话
    cookie: {
      httpOnly: true,
      secure: process.env.NODE_ENV === 'production', // 生产环境开启HTTPS
      // maxAge: null // 默认随浏览器关闭失效，但Redis仍会有24小时TTL
    }
})

内容的提问来源于stack exchange，提问作者user4893295