一个 Node.js express session 被另一个并行 session 覆盖

Question

我们使用 express-session 库来处理请求会话。 session 有时会被另一个并行 session 覆盖。

例如，客户端 A访问我们的应用程序并生成Session #A 。 之后，另一个客户端 B创建Session #B 。 然后客户端A刷新同一个app，发现它的session变成了Session#B。 换言之，Session #A 已被 Session #B 取代。

有没有人有解决类似问题的经验？

下面附上我的部分源代码：用TypeScript编写。 session 配置在sess.ts中定义。 我使用的商店是express-oracle-session 。

sess.ts

exports.configSession = () => {
  let oracledb = require('oracledb');
  let session = require('express-session');
  let oracleDbStore = require('express-oracle-session')(session);
  let sessOpts = {
    checkExpirationInterval: 60000,
    createDatabaseTable: true,
    schema: {
        tableName: 'ldap_sessions'
    }
};

return new Promise((resolve, reject) => {
    oracledb.getConnection('oracle_db', (err, conn) => {
        if (err) {
            return reject(err.message);
        }
        let sessionStore = new oracleDbStore(sessOpts, conn);
        let sessConfig = {
            secret: 'ldap secret',
            resave: true,
            saveUninitialized: true, 
            rolling: true, 
            cookie : {
                httpOnly: false,
                maxAge: 1000 * 60 * 60 * 24
            store: sessionStore
        };
        return resolve(session(sessConfig));}
    )});

};

服务器.ts

let configSess = require('./sess');
let cookieParser = require('cookie-parser');
let bodyParser = require('body-parser');

configSess.configSession().then((sess) => {
    app.use(sess);
    startServer();
});

Answer 1

好吧，您说您正在使用快速会话。 它使用浏览器中的cookie来跟踪客户端。 因此，我知道客户端A和客户端B混合会话的唯一方法是它们是否在同一浏览器中。 如果是这样，那将按预期工作。 每个浏览器获得一个会话。 如果您在一个窗口中创建一个会话，然后在另一个窗口中创建另一个会话，则第二个会话的cookie将覆盖第一个窗口的cookie，而第二个窗口中的刷新将在第二个会话中进行。 这就是快递会议的工作方式。

如果您没有为两个客户端使用相同的浏览器，那么您在Express-Session的服务器实现中存在严重问题，我们必须查看您的服务器端代码以进一步解决问题。

如果您想在同一浏览器中有两个单独的会话用于单独的目的（例如，一个用于管理员登录，一个用于用户登录），那么您可以在这里看到： 如何在express js中管理多个会话 。 但是，事实并非如此，您可以拥有两个单独的客户端，每个客户端具有相同的会话类型，并且每个单独的会话在同一浏览器中运行。 我不认为这是Express-Session支持的。 为此，您可能必须使用cookie以外的其他方式来跟踪会话密钥（也许每个URL中都使用旧的?sessionid=xxxxx ，但这有其自身的一系列问题，这就是为什么很少再使用它了） ）。

Answer 2

我在本地服务器中遇到了同样的问题。 我使用了两种不同的浏览器 chrome 和 firefox 进行测试。 但是，每当我刷新任何一个浏览器时，客户端的 session 都会被当前用户 session 覆盖。 我也在同一个本地网络上使用移动浏览器来检查问题。 然后我阅读了 express-session 文档express-session 文档，我发现了我的问题。 我将 session 数据存储在全局变量中。 这导致了问题。 每当客户端刷新浏览器或重新登录时，变量数据就会被覆盖。 我使用req.session.user而不是全局变量。 它解决了这个问题。