本文详解 Express 应用中因误用 app.locals 导致多用户会话相互覆盖的根本原因，并提供正确管理用户状态的实践方案，确保每个请求独立、安全地访问其所属用户的 session 数据。
本文详解 express 应用中因误用 `app.locals` 导致多用户会话相互覆盖的根本原因，并提供正确管理用户状态的实践方案，确保每个请求独立、安全地访问其所属用户的 session 数据。
在基于 Express + express-session + Passport 的 Web 应用中，若出现「多个用户同时登录后，页面渲染错乱显示他人信息」或「某用户操作意外触发另一用户的会话状态」等问题，通常并非 session 存储（如 MySQLStore）配置错误，而是服务端状态管理方式存在严重设计缺陷——最典型、最危险的错误就是将用户级数据写入 app.locals。
您当前代码中的这段逻辑是问题根源：
// ❌ 危险：全局共享，线程不安全！
app.use((req, res, next) => {
app.locals.message = req.flash('message');
app.locals.success = req.flash('success');
app.locals.user = req.user; // ← 这里导致所有用户互相覆盖！
next();
});
app.locals 是 Express 应用实例级别的全局对象，整个 Node.js 进程中仅存在一份。当用户 A 的请求执行 app.locals.user = userA，紧接着用户 B 的请求又执行 app.locals.user = userB，此时 app.locals.user 已被覆盖为 userB。后续任何未及时刷新的模板渲染（例如 Handlebars 中直接引用 {{user.name}}）都将错误地显示用户 B 的数据——即使该响应本应属于用户 A。这种竞态条件在高并发或调试环境下极易复现，且难以追踪。
✅ 正确做法：始终使用 res.locals（推荐）或直接访问 req 对象属性 来传递单次请求上下文数据：
// ✅ 正确：每个响应独享一份 locals，线程安全
app.use((req, res, next) => {
res.locals.message = req.flash('message');
res.locals.success = req.flash('success');
res.locals.user = req.user; // ← 绑定到当前响应实例，隔离性保障
next();
});
同时，请确保您的视图模板（如 .hbs 文件）中访问的是 res.locals 中的数据：
创建全面的交接文档，使新AI代理能够无缝继续工作，消除歧义。解决上下文耗尽问题。 时机：(1)用户请求保存交接，(2)上下文即将满，(3)主要任务完成，(4)会话结束，(5)恢复工作时。 关键词：保存状态、创建交接、上下文已满、暂停、从...恢复、加载交接、保存进度、会话转移、交接
<!-- views/layouts/main.hbs -->
{{#if user}}
<span>欢迎，{{user.username}}！</span>
<a href="/logout">退出</a>
{{else}}
<a href="/login">登录</a>
{{/if}}
? 验证技巧：可在中间件中添加日志确认作用域
app.use((req, res, next) => { console.log(`[Request ${req.id}] User ID: ${req.user?.id ?? 'guest'}`); res.locals.user = req.user; next(); });
⚠️ 其他关键注意事项：
-
禁用 resave: true 和 saveUninitialized: true：它们会强制保存空会话或重复保存，增加存储压力并可能干扰会话一致性。建议改为：
session({ resave: false, saveUninitialized: false, // ...其余配置 }) - Cookie 安全强化：生产环境务必启用 secure: true（配合 HTTPS），并保持 httpOnly: true 防止 XSS 窃取 Cookie。
- Session ID 唯一性验证：确认 MySQLStore 正确按 sid 字段存储/检索（检查表结构是否含 PRIMARY KEY (sid)），避免因主键冲突导致会话混用。
总结：Express 中的状态边界必须清晰——app.locals 仅用于静态全局变量（如站点标题、API 版本）；res.locals 用于本次 HTTP 响应所需的数据；req/res 实例本身承载请求生命周期内的动态状态。坚守这一原则，即可彻底规避多用户会话污染问题，构建健壮、可扩展的身份认证系统。
