如何使用express-session防止Web应用单用户并发登录

你的需求很常见，尤其是管理员系统这类对安全性要求高的场景——阻止单用户多活跃登录确实能降低未授权访问的风险。你提到的IsLoggedIn+LastLoginTime方案思路没问题，但确实存在一些局限性（比如用户异常退出后字段状态无法及时更新），这里给你几个更健壮、灵活的替代方案：

创建一张独立的active_sessions表来记录每个用户的活跃会话信息，结构可以设计成这样：

CREATE TABLE active_sessions (
    id INT PRIMARY KEY AUTO_INCREMENT,
    user_id INT NOT NULL,
    session_id VARCHAR(255) NOT NULL UNIQUE,
    expires_at DATETIME NOT NULL,
    created_at DATETIME DEFAULT CURRENT_TIMESTAMP,
    FOREIGN KEY (user_id) REFERENCES users(id) ON DELETE CASCADE
);

操作流程： #

• 用户发起登录请求时，先查询该user_id是否存在expires_at > NOW()的记录：
  • 如果存在，直接返回登录失败（提示"已有活跃会话，请先注销当前登录"）
  • 如果不存在，验证账号密码，生成新的session_id，插入active_sessions表，同时将session_id写入用户cookie
• 用户每次发起请求时，后端验证session_id有效性，并更新该会话的expires_at（比如延长30分钟）
• 用户主动注销时，删除对应session_id的记录
• 定期清理过期会话（可以用数据库定时任务，比如每天凌晨删除expires_at < NOW()的记录）

优点： #

• 精确追踪每个会话的生命周期，避免IsLoggedIn字段的"僵尸状态"问题
• 支持扩展（比如记录登录设备IP、浏览器信息，方便用户排查异常登录）

如果你的系统有较高的并发量，用Redis存储活跃会话比数据库更高效——Redis天生适合存储临时键值对，还支持自动过期，不用手动清理数据。

操作流程： #

• 用户登录验证通过后，先执行Redis查询：GET user:active:{user_id}
  • 如果返回非空值（说明存在未过期的活跃会话），拒绝登录
  • 如果返回空，生成唯一session_id，执行SET user:active:{user_id} {session_id} EX 1800（这里EX 1800表示30分钟后自动过期，和你的会话有效期一致），同时将session_id写入cookie
• 用户每次请求时，后端验证session_id，并执行EXPIRE user:active:{user_id} 1800延长过期时间
• 用户注销时，执行DEL user:active:{user_id}

优点： #

• 读写性能远高于关系型数据库，适合高并发场景
• 自动过期机制省去了手动清理过期数据的麻烦
• 实现简单，代码量少

如果不想完全阻止用户登录，而是希望新登录自动让旧会话失效（比如用户忘记在其他设备注销），可以调整逻辑：

• 登录验证通过后，不管是否存在旧会话，都生成新的session_id
• 用数据库或Redis存储该用户当前有效的session_id（覆盖旧值）
• 用户每次请求时，只验证当前存储的session_id是否和cookie中的一致，不一致则返回未登录

这种方式既保证了同一时间只有一个活跃会话，又提升了用户体验——不用用户手动去注销旧会话。

内容的提问来源于stack exchange，提问作者Suresh Prajapati