使用Express Session如何实现会话到期自动销毁、用户自动登出？

你大概率是使用connect-mongo作为Express Session的MongoDB存储适配器，直接基于现有配置调整即可实现需求，不需要额外开发定时清理逻辑。

方案1：固定时长自动过期 #

这是最轻量化的实现方式，会话从用户登录时开始计时，到达指定时长后自动销毁：

• 在Express Session配置中设置cookie.maxAge参数，单位为毫秒，定义会话的总有效时长
• 在connect-mongo配置中开启autoRemove: 'native'，底层会调用MongoDB的TTL索引能力，自动删除过期的会话数据

配置示例：

const session = require('express-session');
const MongoStore = require('connect-mongo');

app.use(session({
  secret: '你的自定义session加密密钥',
  resave: false,
  saveUninitialized: false,
  cookie: {
    maxAge: 24 * 60 * 60 * 1000, // 示例为24小时后过期，可按需调整
    httpOnly: true, // 禁止前端JavaScript读取Cookie，避免XSS风险
    secure: process.env.NODE_ENV === 'production' // 生产环境HTTPS下才传输Cookie
  },
  store: MongoStore.create({
    mongoUrl: '你的MongoDB连接地址',
    dbName: '你的业务数据库名',
    autoRemove: 'native' // 开启自动删除过期会话能力
  })
}));

方案2：闲置时长自动过期（滑动有效期） #

如果需要实现用户持续活跃则会话自动续期，只有闲置超过指定时长才自动登出的效果，新增两个配置参数即可：

app.use(session({
  secret: '你的自定义session加密密钥',
  resave: true, // 每次用户请求都更新会话的过期时间
  rolling: true, // 每次用户请求都刷新前端Cookie的有效期
  saveUninitialized: false,
  cookie: {
    maxAge: 30 * 60 * 1000, // 示例为闲置30分钟后过期，可按需调整
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production'
  },
  store: MongoStore.create({
    mongoUrl: '你的MongoDB连接地址',
    autoRemove: 'native'
  })
}));

注意事项 #

• MongoDB 3.0及以上版本均支持TTL索引，无需额外修改数据库配置
• 如果之前已经创建过sessions存储集合，建议先删除旧集合，让connect-mongo自动生成带正确TTL索引的新集合，避免旧索引冲突导致清理失效
• 如果你使用的不是connect-mongo作为存储适配器，核心逻辑一致：先配置Session Cookie的有效时长，再开启存储层的自动过期清理能力即可

内容的提问来源于stack exchange，提问作者Mert BİÇEROĞLU