使用req.app.locals存储req.flash消息是否安全？（基于connect-flash）

你的理解完全正确，这种写法存在致命问题 #

先明确两个核心对象的特性：

• req.app.locals是全局共享变量，整个应用的所有请求都会共用这个对象里的属性，完全不具备用户隔离性。
• req.flash是存在用户会话中的用户专属数据，默认是"一次性读取"（读取后就会从会话中删除），设计初衷就是用来给当前用户展示一次性提示消息。

你贴的代码写法有两个严重问题：

1. 用户消息串号：在并发请求场景下，用户A的请求刚把自己的success消息存入req.app.locals.success，紧接着用户B的请求就会把自己的消息覆盖上去，导致用户B可能看到用户A的提示，反之亦然，完全打乱了用户数据的隔离性。
2. 消息无法自动失效：req.flash本来读取后会清空会话里的对应数据，但存入全局变量后，这条消息会一直存在直到被下一个请求覆盖，违背了flash消息"一次性提示"的设计目的。

更优方案推荐 #

首选：用res.locals（根本不存在所谓的不便） #

你提到在EJS里用res.locals稍显不便，其实这是最贴合场景的方案。res.locals是当前请求响应的专属变量，只在本次请求的模板渲染中生效，完美匹配flash消息的用户特异性和一次性需求。

用法非常直接，修改中间件即可：

app.use((req, res, next) => {
  // 把flash消息赋值给当前响应的局部变量
  res.locals.success = req.flash('success');
  res.locals.error = req.flash('error');
  next();
});

在EJS模板里直接使用就行，比如：

<% if (success.length > 0) { %>
  <div class="alert alert-success"><%= success %></div>
<% } %>
<% if (error.length > 0) { %>
  <div class="alert alert-error"><%= error %></div>
<% } %>

这和你用req.app.locals的模板写法几乎完全一致，根本没有额外的不便，反而逻辑更清晰。

备选：封装全局模板函数（仅当你有特殊需求时用） #

如果确实因为某些业务场景需要全局挂载，但又要保证用户隔离，可以封装一个全局函数，在模板里动态读取当前用户的flash消息：

// 在app.js里注册全局函数
app.locals.getFlash = function(req) {
  return {
    success: req.flash('success'),
    error: req.flash('error')
  };
};

然后在EJS模板中调用：

<% const flash = getFlash(req) %>
<% if (flash.success.length) { %>
  <div class="alert success"><%= flash.success %></div>
<% } %>

注意这种方案需要确保req对象能被模板访问到（Express默认会把req传入模板上下文），但本质上还是依赖会话，不如res.locals直接高效。

总结 #

把用户专属的flash消息存入全局的req.app.locals是绝对不可取的错误写法，会引发严重的用户数据混淆问题。优先选择res.locals，这完全符合Express的设计规范，所谓的"不便"其实是误解，实际使用起来非常顺畅。

内容的提问来源于stack exchange，提问作者Ari Baranian