如何在Node.js的Passport.js中实现单用户单会话？

嘿，这个需求我之前帮人解决过好几次，核心思路就是给每个用户绑定唯一的有效会话ID，下面我一步步给你讲怎么用Passport + Passport-Local实现单用户单会话：

1. 先更新用户数据模型 #

首先得在你的用户Schema里加一个字段，用来记录当前用户唯一有效的会话ID。假设你用Mongoose，修改后的Schema大概是这样：

const userSchema = new mongoose.Schema({
  username: { type: String, required: true, unique: true },
  password: { type: String, required: true },
  currentSessionId: String // 新增字段：存储当前活跃会话ID
});

const User = mongoose.model('User', userSchema);

2. 登录时销毁旧会话，绑定新会话 #

在Passport的LocalStrategy验证成功后，我们需要先销毁用户之前的会话（如果有的话），再把新生成的会话ID绑定到用户模型上。这里要注意，会话ID要在登录路由里获取，因为此时req.session才会被初始化：

第一步：修改LocalStrategy逻辑 #

passport.use(new LocalStrategy(
  async (username, password, done) => {
    try {
      const user = await User.findOne({ username });
      if (!user) return done(null, false, { message: '用户不存在' });

      // 验证密码（假设用bcrypt加密）
      const isPasswordValid = await bcrypt.compare(password, user.password);
      if (!isPasswordValid) return done(null, false, { message: '密码错误' });

      // 这里先不处理会话，留到登录路由里操作
      return done(null, user);
    } catch (err) {
      return done(err);
    }
  }
));

第二步：在登录路由里处理会话替换 #

app.post('/login', passport.authenticate('local', {
  failureRedirect: '/login?error=登录失败'
}), async (req, res, next) => {
  try {
    const user = req.user;
    // 1. 如果用户之前有活跃会话，销毁它
    if (user.currentSessionId) {
      // 这里以connect-mongo会话存储为例，其他存储请对应修改销毁方法
      await req.sessionStore.destroy(user.currentSessionId);
    }
    // 2. 把当前新会话ID绑定到用户模型
    await User.findByIdAndUpdate(user._id, {
      currentSessionId: req.session.id
    });
    res.redirect('/dashboard');
  } catch (err) {
    next(err);
  }
});

3. 全局校验会话有效性 #

为了防止旧会话被恶意复用，我们需要写一个中间件，在每个需要认证的请求里检查当前会话ID是否和用户绑定的一致：

function validateSession(req, res, next) {
  if (req.isAuthenticated()) {
    User.findById(req.user._id)
      .then(user => {
        if (user.currentSessionId !== req.session.id) {
          // 会话无效，强制登出
          req.logout(err => {
            if (err) return next(err);
            req.session.destroy(() => {
              res.redirect('/login?error=你的账号在其他设备登录，当前会话已失效');
            });
          });
        } else {
          next();
        }
      })
      .catch(err => next(err));
  } else {
    next();
  }
}

// 把这个中间件应用到所有需要登录的路由
app.use(['/dashboard', '/profile'], validateSession);

4. 登出时清理会话记录 #

当用户主动登出时，记得清空用户模型里的会话ID，避免下次登录时出现异常：

app.get('/logout', (req, res, next) => {
  if (!req.isAuthenticated()) return res.redirect('/login');
  
  User.findByIdAndUpdate(req.user._id, { currentSessionId: null })
    .then(() => {
      req.logout(err => {
        if (err) return next(err);
        req.session.destroy(() => {
          res.redirect('/login?message=已成功登出');
        });
      });
    })
    .catch(err => next(err));
});

补充小提示 #

• 如果你的会话存储不是connect-mongo（比如内存存储，不建议生产用），销毁旧会话的方法需要对应调整，核心是根据会话ID找到并删除目标会话。
• 生产环境下一定要给会话配置合理的过期时间，避免无效会话占用资源。
• 这个方案的核心是用用户模型绑定唯一有效会话，从登录、请求校验到登出形成闭环，确保同一时间只有一个会话有效。

内容的提问来源于stack exchange，提问作者Umer Usman