使用Cluster多线程时Express Session过期提前销毁问题

问题根源 #

你的核心问题在于Cluster多进程环境下默认会话存储不共享：

• express-session默认使用MemoryStore，每个Worker进程都有独立的内存存储空间。当请求被负载均衡到不同Worker时，之前在A进程创建的会话在B进程中不存在，会被判定为新会话，旧会话因此直接失效，表现为几秒就被销毁。
• 另外你在控制器中直接覆盖req.session.cookie对象的方式不规范，会丢失默认的Cookie安全属性，同时可能导致会话过期逻辑异常。

解决方案 #

1. 替换为跨进程共享的会话存储

使用Redis作为会话存储（也可选用MongoDB等其他支持跨进程共享的存储方案），确保所有Worker进程能访问同一份会话数据。

安装依赖

npm install connect-redis redis

修改app.js的Session配置

const session = require('express-session');
const RedisStore = require('connect-redis').default;
const { createClient } = require('redis');
const cluster = require('cluster');
const numCPUs = require('os').cpus().length;
const http = require('http');
const express = require('express');

// 创建Redis客户端（所有Worker共享同一连接）
const redisClient = createClient({
  url: 'redis://localhost:6379' // 根据你的Redis部署地址调整
});
redisClient.connect().catch(err => console.error('Redis连接失败:', err));

const application = express();

application.use(
  session({
    secret: process.env.JWT_SECRET,
    resave: false, // 禁用不必要的存储写入，RedisStore已支持自动更新过期时间
    saveUninitialized: false,
    store: new RedisStore({ client: redisClient }), // 绑定Redis作为会话存储
    cookie: {
      maxAge: 30 * 1000, // 全局设置会话30秒过期
      httpOnly: true, // 防止前端JS读取Cookie，提升安全性
      secure: process.env.NODE_ENV === 'production' // 生产环境开启HTTPS时启用
    }
  })
);

require("./routes")(application);

const port = process.env.API_PORT;
const server = http.createServer(application);

const run = () => {
  if (cluster.isMaster) {
    for (let i = 0; i < numCPUs; i++) {
      cluster.fork();
    }
    cluster.on("exit", (worker, code, signal) => {
      console.error(
        `worker ${worker.process.pid} died (${signal || code}). 1秒后重启`
      );
      setTimeout(() => cluster.fork(), 1000);
    });
  } else {
    server.listen(port, () => {
      console.log(`Worker ${process.pid} 运行在端口 ${port}`);
    });
  }
};

module.exports = run;

2. 修正控制器中的会话过期设置

不要直接覆盖req.session.cookie对象，通过修改maxAge属性调整过期时间：

async captchaGenerator(req, res) {
    const captcha = createCaptcha(170, 45, 100, 999);
    const number = captcha.number;
    const image = Buffer.from(captcha.image, "base64"); // 推荐用Buffer.from替代new Buffer

    req.session.captcha = await bcrypt.hash(number, 10);
    // 动态调整当前会话的过期时间（若需全局统一，上面session配置的maxAge已足够）
    req.session.cookie.maxAge = 30 * 1000;

    res.writeHead(200, {
      "Content-Type": "image/png",
      "Content-Length": image.length,
    });
    res.end(image);
  }

关键注意事项 #

• 所有Worker进程必须连接同一个Redis实例，确保会话数据全局共享
• 避免直接覆盖req.session.cookie，否则会丢失httpOnly等安全属性，引发会话安全问题
• resave: false是更优配置，RedisStore会自动处理会话过期时间的更新

内容的提问来源于stack exchange，提问作者Alirezakvr