如何创建全局Session 实现特定Session下HTML可见控制

你说的「Session不应当设置为全局」是非常正确的开发准则——这里禁止的是把单个用户的Session实例挂到全局作用域，这种写法会直接导致用户会话串号，A用户能看到B用户的隐私数据，是严重的安全漏洞。
但你完全不需要“全局Session”才能实现需求：Session本身的设计就是和单次请求绑定的用户专属存储，只要你的服务配置了Session中间件，每个打到后端的请求都会自动携带对应用户的Session实例，你在请求处理逻辑里直接读取即可，这是Session的标准用法，和“全局Session”的错误写法完全是两码事。

核心原则必须记牢：所有权限判断在服务端完成，绝对不要把需要隐藏的HTML先发给前端，再靠JS控制显隐——这种写法用户只要查看网页源码、改下前端JS逻辑就能看到隐藏内容，没有任何安全性。

• 第一步：在用户满足“持有特定Session”的判定条件时，给当前用户的Session写入专属标记
  比如用户完成专属权限校验、通过指定验证、完成对应权益开通后，直接往当前请求绑定的Session里写标记就行，以Node.js Express生态的常见写法为例，Java、Python、Go等其他技术栈逻辑完全一致：

  // 处理权限校验的接口
  app.post('/verify-access', (req, res) => {
    // 你自己的业务校验逻辑，比如校验口令、校验用户订单状态
    const isPassed = checkUserQualification(req.body)
    if (isPassed) {
      // 仅给当前通过校验的用户Session加标记，不会影响其他用户
      req.session.specificAccess = true
      res.json({ code: 0, msg: '验证成功' })
    } else {
      res.json({ code: -1, msg: '无权限' })
    }
  })
  

• 第二步：渲染目标页面时，服务端读取Session标记判断是否输出敏感HTML片段
  服务端渲染场景下，直接在拼HTML的环节做判断，有权限才把需要控制可见性的HTML片段拼到返回内容里，没权限就不输出这段代码：

  app.get('/content-page', (req, res) => {
    // 直接从当前请求取对应用户的Session标记，不需要全局变量
    const canSeePrivateContent = req.session.specificAccess === true
    let html = `
    <!DOCTYPE html>
    <html>
      <head><title>业务页面</title></head>
      <body>
        <div>所有用户都能看到的公开内容区域</div>
    `
    // 有权限才拼接私有内容
    if (canSeePrivateContent) {
      html += `<div class="private-block">仅特定权限用户可见的专属内容</div>`
    }
    html += `
      </body>
    </html>
    `
    res.send(html)
  })
  

• 第三步：前后端分离场景的适配
  如果你的项目是前后端分离架构，不要把私有HTML片段提前打包到前端静态资源里。正确做法是：页面加载时先调用权限校验接口，接口从Session读标记判断权限，有权限就返回私有内容对应的数据/HTML片段，没权限直接返回403状态码，前端拿到合法返回后再渲染对应区域即可。

绝对不要用前端逻辑做最终权限判断：不管是把权限标记存在Cookie里给前端读，还是把所有内容都返回给前端用CSS隐藏，都是可以被普通用户轻易绕过的写法，完全达不到权限控制的效果。

内容的提问来源于stack exchange，提问作者BirdyBird