在新登录时销毁以前的 session - passport.js、express、nodejs、mongodb

Question

自去年以来，我在我的应用程序中使用 passport.js 进行本地和第三方身份验证。 最近给了我一个新的用例，它需要活动会话数，如果用户尝试从其他设备（如移动设备）登录，则同时销毁现有的 session。 我查看了有关堆栈溢出的答案，例如此链接，答案的第三部分似乎是一个不错的方法，因此我将源代码修改为这样

登录 controller

exports.login = (req, res, next) => {
  passport.authenticate('local', async (err, user, info) => {
     if (err) {
        return next(err);
     }

     const { message } = info;

     if (message.includes('User does not exists')) {
         return res.status(404).json({
            message: 'User does not exists',
         });
     }

     if (message.includes('Incorrect credentials')) {
         return res.status(401).json({
            message: 'Incorrect credentials',
         });
     }

    //* status check that ensures that users with status 2 (suspended) cannot login
    if (user.status === 2) {
      return res.status(401).json({
        message: 'User is suspended',
      });
    }

    try {
       if (user.validation.activeSessions > 0) {
        const userSession = await UserDAO.getUserSession(user._id);

       //* Checks if user is logged in previously
       if (userSession) {
      //* If user is previously logged in, then delete user session
       await UserDAO.deleteUserSession(user._id);

      //* a) first decrement user active session to 0
      await UserDAO.decrementUserActiveSessions(user._id);

      //* b) second increment user active session to 1
      await UserDAO.incrementUserActiveSessions(user._id);
    }
  } else {
    //* If user validation active sessions is 0 then increment user active session to 1
    await UserDAO.incrementUserActiveSessions(user._id);
  }
} catch (error) {
  console.log(`Internal Server Error, ${error}`);
  return res.status(500).json({ message: `Internal Server Error` });
}

req.logIn(user, (error) => {
  if (error) {
    return next(error);
  }
  res.status(200).json({
    message: 'User is logged in successfully',
    _id: user._id,
    name: user.name,
    email: user.email,
        role: user.role,
      });
    });
  })(req, res, next);
};

I am using connect-mongo for session storage, and the above code deletes session from database without clearing cookie (since user can login from any device), and if session is found then it deletes existing session (on passport user, where user in session在 mongodb 中被索引），然后创建一个新的 session。 这是我注销的方式（没有在登录时重建 session）

exports.logout = async (req, res, next) => {
  try {
    if (req.session) {
      if (req.user.validation.activeSessions > 0) {
        await UserDAO.decrementUserActiveSessions(req.user._id);
      }

    req.logout();
    req.session.destroy((err) => {
      if (err) {
        return res.status(400)
        .json({ message: 'Error occurred please try again' });
      }
    res.clearCookie('sessionId');
    res.status(204).json({ message: 'logged out' });
  });
} else {
  res.end();
}
 } catch (err) {
    console.log(`Internal Server Error, ${err}`);
    res.status(500).json({ error: err });
  }
};

当用户在先前登录后登录任何设备但昨天用户在另一个选项卡中使用另一个帐户登录并表达 session 替换以前的 session 与以前的选项卡中的新 Z21D6F40CFB5121982E457Z4A0 时，这种方法似乎工作正常。 现在 activeSessions 仍然是 1，我一直在寻找缓解这个问题的干净方法。 是否有一种更简单或理智的方法可以让我在新登录时优雅地注销以前的用户。 我在堆栈溢出中找到了以下答案，但我不知道在哪里实现它，任何指针都会有所帮助