基于Mongoose的应用如何为不同用户创建专属数据并支持多用户并发访问

当前代码不支持多用户并发的核心原因是使用全局变量var user = ""存储用户身份。Node.js 应用单进程运行时，所有请求共享全局作用域，任意用户登录时对user的赋值都会直接覆盖其他用户的状态，最终导致数据串扰、逻辑错乱。
你提到的“为每个用户配置独立数据库”属于多租户架构的强隔离实现，并非常规多用户应用的必要选项，下面分两种可落地的场景给出实现路径。

该方案不需要为每个用户拆分独立数据库，仅通过会话存储绑定用户身份，用现有代码中的person字段做数据隔离即可实现多用户并发。

实现步骤 #

• 引入express-session中间件完成请求级的用户身份存储，配置好会话密钥、Cookie 有效期等参数，每个浏览器请求会携带唯一的会话标识，服务端会将会话数据和标识一一绑定，完全不会跨用户串数据。
• 删掉所有全局user变量的赋值/读取逻辑，所有身份相关的取值全部从请求关联的会话中获取：
  • 登录接口校验通过后，不修改全局变量，直接执行req.session.userEmail = foundUser.email存储当前用户身份
  • 注册接口完成用户创建后，不修改全局变量，直接执行req.session.userEmail = email
  • 访问工作区接口时，先校验req.session中是否存在合法的用户身份，不存在则直接跳转登录页，存在则用该值作为查询条件：Item.find({ person: req.session.userEmail }, ...)
  • 新增工作区条目时，person字段直接取req.session.userEmail，替代原来的全局user
• 删掉全局硬编码的默认条目逻辑：原来应用启动时就生成绑定全局user的item1的写法完全不适用多用户场景，改成在用户首次访问工作区、查询不到自身条目时，动态生成绑定当前会话用户的默认条目再插入。

代码修正示例 #

原来的错误逻辑：

// 错误：全局变量被所有请求共享
var user = "";

app.get("/workspace", function (req, res) {
    Item.find({ person: user }, function (err, foundItems) {
        // ...
    })
});

app.post("/login", function (req, res) {
    // 错误：直接修改全局变量
    user = email;
    res.redirect("/workspace");
});

修正后的逻辑：

// 初始化会话中间件（在所有路由挂载前配置）
app.use(session({
    secret: "你的会话加密密钥",
    resave: false,
    saveUninitialized: false,
    cookie: { maxAge: 24 * 60 * 60 * 1000 } // 会话有效期1天
}));

// 完全移除全局user变量

app.get("/workspace", function (req, res) {
    // 校验登录态
    if (!req.session.userEmail) {
        return res.redirect("/login");
    }
    const currentUser = req.session.userEmail;
    Item.find({ person: currentUser }, function (err, foundItems) {
        if (foundItems.length == 0) {
            // 为当前新用户生成默认条目，不再依赖全局变量
            const defaultItem = new Item({
                person: currentUser,
                date: "String",
                loc: "String",
                title: "String",
                passage: "String",
                file: "String"
            });
            Item.insertMany([defaultItem], function (err) {
                if (err) console.log(err);
            });
            res.redirect("/workspace");
        } else {
            res.render("workspace", { itemList: foundItems });
        }
    });
});

app.post("/login", function (req, res) {
    const email = req.body.email;
    const password = req.body.password;
    User.findOne({ email: email }, function (err, foundUser) {
        if (err) console.log(err);
        if (foundUser && foundUser.password === password) {
            // 身份数据存在会话中，完全不影响全局作用域
            req.session.userEmail = foundUser.email;
            res.redirect("/workspace");
        }
    });
});

顺带修正的现存代码问题 #

• 注册接口中重复定义User模型的代码const User1 = mongoose.model("User", userSchema)会触发Mongoose的模型覆盖报错，直接删掉这行，复用之前初始化好的User模型即可。
• 不要明文存储用户密码，上线前替换为哈希加密存储，避免安全风险。

如果业务要求每个用户的数据物理隔离，必须拆分独立库，可以按以下逻辑实现：

• 为每个用户生成唯一的库名，比如用用户ID拼接成user_db_<userId>格式
• 实现Mongoose连接缓存：当用户登录/会话激活时，根据库名判断是否已经存在对应连接，存在则复用，不存在则动态创建一个独立的Mongoose连接，基于该连接实例化User、Item模型，和全局默认连接的模型完全隔离
• 将当前用户对应的连接、模型实例存在req.session中，不要存在全局变量里，每个用户的请求只访问自己对应的库连接
• 该方案的资源成本极高：连接数会随用户数线性增长，需要额外做连接回收、连接数上限控制，只适合对数据隔离有强合规要求的小众场景，常规业务优先选择前面的单库行级隔离方案。

内容的提问来源于stack exchange，提问作者Caleb Gross