req.flash()依赖session与登出销毁session的冲突问题如何解决

req.flash() 的运行依赖当前请求上下文里挂载的req.session实例，所有临时提示消息都会存储在session的对应字段中；而登出时调用的req.session.destroy()会直接销毁当前session实例，销毁完成后当前请求生命周期内如果再调用flash读写session，就会因为找不到session对象抛出错误，后续要给用户展示的登出提示也无法正常存储。

方案1：调整执行顺序+销毁后重定向（通用兼容方案） #

核心逻辑是先把flash消息写入旧session持久化，再销毁旧session、清客户端cookie，重定向后服务端会为客户端生成全新session，flash中间件会自动把旧session里存的提示消息迁移到新session供页面读取，不会出现报错。
代码示例：

// 登出路由处理
const logoutHandler = (req, res, next) => {
  // 提前写入要展示的flash提示
  req.flash('notice', '您已成功退出登录')
  // 先保存session确保flash消息写入存储
  req.session.save(saveErr => {
    if (saveErr) return next(saveErr)
    // 销毁当前旧session
    req.session.destroy(destroyErr => {
      if (destroyErr) return next(destroyErr)
      // 清除客户端存储的session id cookie，名称和你session配置的cookie名保持一致
      res.clearCookie('connect.sid')
      // 重定向到登录页/首页，触发新session生成
      res.redirect('/login')
    })
  })
}

方案2：用session再生替代销毁（更简单的无报错方案） #

不需要彻底销毁session实例，通过清空认证数据+重新生成session id的方式实现登出，既满足登出的安全要求（避免会话固定攻击），又能全程保留session实例，flash调用完全不会出现依赖缺失问题。
代码示例：

const logoutHandler = (req, res, next) => {
  // 清空session中存储的所有用户认证相关数据
  req.session.userId = null
  req.session.userInfo = null
  req.session.isAuthed = false
  // 重新生成session id，等效于旧会话失效的安全效果
  req.session.regenerate(genErr => {
    if (genErr) return next(genErr)
    // 此时已经是全新的session实例，直接调用flash不会有任何问题
    req.flash('notice', '您已成功退出登录')
    res.redirect('/login')
  })
}

• 禁止在req.session.destroy()的回调函数执行后再调用req.flash()，此时旧session已被销毁，当前请求上下文还没挂载新session，必然抛出异常。
• 如果使用Passport等认证库，优先选择方案2，和库自带的登出逻辑兼容性更好，不会出现session状态不一致的问题。
• 清除cookie时要和session初始化时配置的name、path、domain参数完全一致，否则会出现旧cookie残留、登出不生效的问题。

内容的提问来源于stack exchange，提问作者umair ihsan