@captainblue2013 那请问下，你明白的session又是怎样的？session不就是标识一个人，然后将人的信息保存在服务端，以便下一次识别。除了这，session还有很高大上的含义么？

@mrlong 你需要注意的是，express使用的session是每一次http请求都会生成1个新的sessionid的，所以你每次读取的话都是新的sessionid对应的值。你可以读一读express-session对session生成的机制。只有在你的请求cookie（request cookie）有带入connect.sid，才不会生成新的sessionid。这个时候你拿到的sessionid才是requestcookie里面的的sessionid。

@mrlong 我现在的做法是，依然使用session，但是不使用express-session。将sessionid以login接口的值传入给前端，前端会在浏览器的Localstorage出保存起来。我之前也考虑oauth2。不过因为是自己做，oauth2相对而言，是一种“授权”，所以就还是使用session了。

帖段我的代码：

// 依赖
var moment = require('moment');
var async = require('async');
var uid = require('uid-safe').sync;

var redis = require('../library/redis').create();

// UserService
var UserService = {
  setSession: function (user, req) {
    var sid = uid(24);
    var expired = moment().unix() + 7 * 24 * 60 * 60;
    var session = {
      id: sid,
      expired: expired,
      user: user.get({plain: true}),
      user_id: user.id
    };
    var stringify = JSON.stringify(session);
    redis.set(sid, stringify);
    req.session = session;
    req.user = user;
  },
  destroySession: function (req) {
    redis.expire(req.session.id, 0);
  },
  checkSession: function (req, res, next) {
    async.waterfall([
      // get session id
      function (cb) {
        var sid = req.query.sid;
        if (!sid) {
          cb('请登录后访问');
        } else {
          cb(null, sid);
        }
      },
      // get session
      function (sid, cb) {
        redis.get(sid, function (err, session) {
          if (session) {
            cb(null, session);
          } else {
            console.log('session empty, sid ' + sid);
            cb('请登录后访问');
          }
        });
      },
      // check whether session expired or not
      function (session, cb) {
        var parsed = JSON.parse(session);
        if (parsed.expired <= moment().unix()) {
          console.log('session expired, sid ' + session.id);
          cb('请重新登录后访问');
        } else {
          cb(null, parsed);
        }
      },
    ], function (err, session) {
      if (err) {
        res.status(403);
        res.json({msg: err});
      } else {
        console.log('userid ' + session.user_id + ' session check success');
        next();
      }
    });
  },
  isMe: function (req, userId) { // 是否为自己
    var me = req.session.user_id;
    return parseInt(me) === parseInt(userId);
  }
};

module.exports = UserService;

setSession方法是在login出调用，destroySession是在logout出，而checkSession则是在需要校验session的接口处调用

@mrlong 因为通过微信的事件回调后，request cookie是无法跟着ajax一直走的，因此在回调的requestcookie中没有带入connect.sid，因此你的req.sessionid就是新的值。我也是因为这个问题，才换了一种思维，让前端在localstorage中存sessionid,而不是用cookie。