快速会话不删除以前的会话

Question

我目前正在处理一个新项目，并且我将会话与 express-session 库一起使用。

这是我设置会话的代码：

const IN_PROD = process.env.MODE==='production'
app.use(session({
    name: 'sid',
    secret: 'asecret',
    store: new MongoStore({
        mongooseConnection: mongoose.connection,
        collection: 'sessions'
    }),
    saveUninitialized: false,
    resave: false,
    cookie: {
        sameSite: true,
        secure: IN_PROD,
        expires: new Date(new Date().getTime() + 1000 * 60 * 60 * 24)
    }
}))

想象以下步骤：

1) 我的服务器在 cookie 中向我的客户端发送一个会话 ID (sid=A)。

2) 客户端手动删除cookie

3) 在下一次请求时，客户端发送另一个会话 id (sid=B)

A 和 B 的 cookie 都存储在数据库中并且第一个没有被覆盖是否正常？

Answer 1

这很正常。这取决于您或您用来清理旧会话的会话存储。

如果您查看MongoStore() 文档，您会发现它有几个与automatic removal of session objects 相关的功能。

这是一个例子：

// connect-mongo will take care of removing expired sessions, using defined interval.

app.use(session({
    store: new MongoStore({
      url: 'mongodb://localhost/test-app',
      autoRemove: 'interval',
      autoRemoveInterval: 10 // In minutes
    })
}));

请记住，在快速会话级别，会话只是与 cookie 关联的数据块。每当浏览器向您的服务器发出请求并且不存在会话 cookie 时，都会创建一个新的会话 cookie 并连接到该新 cookie 的新快速会话对象。

如果用户随后删除了该 cookie 并再次连接到您的服务器，则 express-session 不知道此浏览器与前一个会话是同一浏览器。原来的 cookie 是它知道这一点的唯一方法，而 cookie 现在已经消失了。所以，express-session 只是看到一个新的浏览器连接到没有会话 cookie 的服务器，所以它创建一个新的 cookie，然后创建一个新的会话对象来配合它。

登录用户与 express 会话的任何关联都是在您的应用程序级别完成的（通过将用户标识信息放入会话对象中），而 express-session 根本不知道这一点。