Node.js+MongoDB登录系统：无痕窗口关闭后自动删除后端JWT方案

这确实是会话管理里挺常见的痛点，尤其是无痕模式这种会话级别的场景，咱来聊聊几个靠谱的解决方案：

1. 基于心跳的实时连接检测（WebSocket 优先） #

无痕窗口关闭时，浏览器会直接切断所有和服务器的连接，利用这个特性，你可以用 WebSocket 来做实时检测：

• 用户登录成功后，前端立即和后端建立 WebSocket 连接，后端把当前用户的 Token 和这个 WebSocket 连接关联起来（比如存在内存映射里，或者存入 Token 文档的连接标识）。
• 当后端监听到 WebSocket 的 close 事件时，就可以根据关联信息找到对应的 Token，直接从 MongoDB 里删除。
• 如果担心 WebSocket 兼容性，也可以用短轮询替代：前端每隔几十秒给后端发一个「我还在线」的请求，后端更新该 Token 的最后活跃时间。然后用定时任务（比如 Node.js 的 node-schedule 或者 MongoDB 的定时聚合）清理掉超过N分钟没活跃的 Token。

举个 WebSocket 的简单代码片段：

// 后端 WebSocket 处理（用 ws 库）
const WebSocket = require('ws');
const wss = new WebSocket.Server({ port: 8080 });
const tokenConnectionMap = new Map();

wss.on('connection', (ws) => {
  ws.on('message', (data) => {
    const { token } = JSON.parse(data);
    tokenConnectionMap.set(token, ws);
    // 关联用户Token和连接
    ws.token = token;
  });

  ws.on('close', () => {
    const token = ws.token;
    if (token) {
      // 从MongoDB删除该Token
      TokenModel.deleteOne({ token: token }).exec();
      tokenConnectionMap.delete(token);
    }
  });
});

2. 给Token设置TTL过期 + 刷新机制 #

既然无痕窗口的 Cookie 是会话级的（关闭即消失），那后端的 Token 也没必要永久留存：

• 给 MongoDB 里的 Token 文档加一个 TTL 索引，比如设置 15 分钟过期。这样即使用户直接关窗口，过期后 MongoDB 会自动删除这些残留的 Token。
• 同时配合 JWT 的 exp 过期字段，前端在 Token 快过期时自动请求刷新新的 Token，后端更新 DB 里的 Token 过期时间。如果用户关了窗口，前端没法发起刷新请求，旧 Token 就会自动被清理。

示例：给 Mongoose 的 Token 模型加 TTL 索引

const tokenSchema = new mongoose.Schema({
  userId: { type: mongoose.Schema.Types.ObjectId, ref: 'User' },
  token: String,
  createdAt: { type: Date, default: Date.now, expires: '15m' } // 15分钟后自动删除
});

const TokenModel = mongoose.model('Token', tokenSchema);

3. 前端监听窗口关闭事件（辅助方案） #

可以在前端监听 beforeunload 事件，尝试在窗口关闭前给后端发请求删除 Token，但这个方法不能完全依赖——比如浏览器崩溃、网络突然断开、用户强制关闭进程时，这个事件可能不会触发。

示例代码：

window.addEventListener('beforeunload', async (e) => {
  // 发送同步请求，避免异步请求被浏览器取消
  try {
    await fetch('/api/logout', {
      method: 'POST',
      credentials: 'include',
      body: JSON.stringify({}),
      headers: { 'Content-Type': 'application/json' },
      keepalive: true // 关键：确保请求在页面关闭后仍能发送
    });
  } catch (err) {
    console.log('Logout request failed:', err);
  }
});

总结 #

最稳妥的方案是结合心跳检测 + TTL 过期：用 WebSocket 处理正常关闭窗口的即时清理，用 TTL 索引兜底处理各种异常情况（比如浏览器崩溃、网络中断）。前端的 beforeunload 可以作为补充，但别把它当主力方案。

内容的提问来源于stack exchange，提问作者Zain Ul Abideen