如何检测express cookie-session是否过期 配合passport实现登出

你当前的实现存在几个核心问题：

1. cookie-session初始化时的expires配置写法错误：new Date(Date.now() + 1 * 60 * 1000)是服务启动时就生成的固定时间点，会导致所有用户的会话在服务启动1分钟后集体失效，并非每个会话创建后1分钟过期。
2. 你读取的req.sessionOptions.expires是中间件的全局默认配置，不是当前请求对应会话的实际过期时间；而且浏览器发送请求时只会携带cookie的键值内容，不会上传cookie的过期时间、有效期这类元属性，服务端无法直接从请求头拿到单条cookie的过期配置。
3. passport的isAuthenticated()仅校验req.user是否存在，本身不感知会话存储层的过期状态，这是符合设计预期的，需要自己在业务中间件里补全校验逻辑。

第一步：修正cookie-session配置 #

把固定绝对时间的expires换成相对时间的maxAge配置，由中间件自动为每个会话计算过期时间：

app.use(
  cookieSession({
    name: "authSession",
    maxAge: 1 * 60 * 1000, // 会话有效期1分钟，单位为毫秒
    keys: [process.env.COOKIE_KEY],
  })
);

注意：你代码里给passport.session()传的session配置项是无效的，配合cookie-session使用时，这些配置是给express-session设计的，不需要传入，可以直接简化为：

app.use(passport.initialize());
app.use(passport.session());

第二步：登录时写入会话过期时间 #

cookie-session的内容是存在客户端加密cookie中的，用户无法篡改签名后的内容，因此可以直接把会话过期时间戳存在session对象里。在用户登录成功、写入session的逻辑中（比如passport的登录回调、serializeUser逻辑中）添加：

// 登录成功后，记录当前会话的过期时间戳
req.session.expireAt = Date.now() + req.sessionOptions.maxAge;

如果需要实现滑动会话（用户活跃时自动续期），可以跳过这一步，在后续校验中间件里每次刷新过期时间即可。

第三步：改造认证校验中间件 #

中间件里同时校验登录状态和会话有效期，过期时主动销毁会话跳转登录页：

module.exports.isAuthenticated = (req, res, next) => {
  // 校验会话是否存在、是否在有效期内
  const sessionValid = req.session && req.session.expireAt && req.session.expireAt > Date.now();

  if (req.isAuthenticated() && sessionValid) {
    // 如需滑动续期，打开下面这行即可，每次访问自动延长有效期
    // req.session.expireAt = Date.now() + req.sessionOptions.maxAge;
    return next();
  }

  // 校验不通过，销毁当前会话，清除登录状态
  req.session = null;
  req.logout(() => {
    res.render(process.env.AUTH_LOGIN_PAGE || "login");
  });
};

• 正常情况下，cookie过期后浏览器会自动删除对应cookie，请求不会携带失效的会话信息，上述校验主要覆盖客户端时间偏差、手动篡改保留cookie、服务端重启后全局配置重置这类边界场景。
• 不要尝试从请求的Cookie头里解析过期时间，这类属性是浏览器本地存储用的，不会随请求发送到服务端。

内容的提问来源于stack exchange，提问作者me-me