因为使用AIR做客户端（iOS也同样），所以没法用cookie，用的是CSRF方式来管理session，不知道对不对。

目标： 每个用户登录之后建立session，打印出他post的信息。每个用户有自己的session

时序：

1. client (GET method access) -> express
2. client got csrf token
3. client (POST method with token) -> express

结果： 现在后面用户登录后覆盖前面用户的session，比如aaa登录，打印是aaa post: …, bbb登录之后，aaa窗口再post信息，打印就变成bbb post: … （应该是aaa post: … )。 现在的结果是好像所有用户共享一个session一样，查了很多资料也没明白，请指点迷津。

Got client login : aaa
Got client post : a11111111
aaa post times = 1
Got client login : bbb
Got client post : b222222222
bbb post times = 1
( === 以下是aaa用户的 === )
Got client post : a111111111
bbb post times = 1

代码如下：

var express = require('express');
var app = express.createServer();
app.use(express.bodyParser());

app.use(express.cookieParser());
app.use(express.session({secret:'mySecret'}));
app.use(express.csrf());

function csrf(req,res,next) {
	// res.locals.token = req.session._csrf;
	res.locals.csrftoken = req.session._csrf;
	next();
}

app.get('/',csrf,function(req,res){

	req.session.user = req.query.username;

	console.log('Got client login : '+req.query.username);
	res.send('token='+req.session._csrf);    
});

app.post('/',csrf,function(req,res)
{
	console.log('Got client post : '+req.body.say);
	if (typeof req.session.view != 'undefined')
	{
		req.session.view++;
	}
	else
	{
		req.session.view = 1;
	}
	console.log(req.session.user+' post times = '+req.session.view);
	
});
app.listen(9001);
console.log('listen to 9001...');