node.js - 在用户端删除 cookie 后删除 redis 中的 session 条目

Question

我有以下场景:

用户登录，通过connect-redis 的 session 条目有效期为 2 周。用户现在可以使用存储在应用程序中的 session ID 访问应用程序的某些部分。

现在，如果 1. 用户在浏览器中删除了该 cookie(与 session 一起)并且 2. 再次登录 - 现在 Redis 中有 2 个 session 条目与同一用户关联，旧的已过时。

处理此类旧/过时 session 的最佳方法是什么？我是否应该为 redis 使用客户端库，搜索所有 session 以找到与当前登录用户的信息匹配的 session (在她可能手动删除 cookie 之后)，并清除这些过时的 session ；或者有更好的方法吗？

谢谢，

尼克

Answer 1

这取决于这(用户删除 cookie)是否是常见情况，如果是，则服务器中是否存在过时 cookie 的问题。

我能想到的两个潜在“问题”是:

1. 安全性 - 过时的 cookie 是否会被恶意利用？我不明白这怎么可能，但我可能是错的 (tm)。
2. 存储 - 过时的 cookie 是否占用过多 (RAM) 资源？如果有很多陈旧的 cookie，并且每个 cookie 都足够大，这可能会成为一个问题。

除非 1 或 2 适用于您的用例，否则我不明白您为什么要经历“手动”清理旧 cookie 的麻烦。假设您为每个 session (2 周？)提供一个 ttl 值，过时的 cookie 将在该时间段后自动清除，因此不需要额外的操作来处理这些。