Session是服务端机制，JavaScript本身无原生Session；Node.js中用Redis实现分布式Session，解决多实例下登录状态不共享问题，核心是将session数据存于Redis中心化存储，通过Cookie传递session ID实现跨服务器会话关联。
JavaScript 中本身没有原生的 Session 概念，Session 是服务端机制。所谓“JavaScript 配合 Redis 实现 Session”，实际是指在 Node.js（服务端 JavaScript）环境中，用 Redis 作为 Session 数据的统一存储后端，解决多实例、负载均衡下的状态共享问题。
为什么不能只靠内存存 Session
Node.js 默认把 Session 存在进程内存里（比如 express-session 的 MemoryStore），这在单机开发时没问题，但上线后一旦部署多个服务实例（如用 Nginx 做负载均衡），用户请求可能被分发到不同机器——A 机器登录生成的 Session，B 机器根本查不到，直接导致“登录失效”“购物车清空”。Redis 正是为打破这种隔离而引入的中心化存储。
核心流程：从登录到验证
整个链路不依赖前端 JS 操作 Session，而是由服务端中间件自动完成：
- 用户提交账号密码，后端校验通过后，生成唯一 session ID（如 uuid.v4()）
- 将用户数据（user_id、role、loginAt 等）以 Hash 结构写入 Redis，key 为 session:abc123，并设置过期时间（如 30 分钟）
- 通过 Set-Cookie 响应头把 session ID 写入浏览器 Cookie（默认名 connect.sid）
- 后续所有请求，中间件自动读取 Cookie 中的 session ID，在 Redis 中查 hash 数据；存在且未过期，就挂载到 req.session 上供业务使用
关键配置项（以 express-session + connect-redis 为例）
真正影响性能和稳定性的不是代码量，而是这几个参数设置：
立即学习“Java免费学习笔记（深入）”；
- resave: false —— 不强制每次请求都重写 Redis 中的 session，避免无意义更新
- saveUninitialized: false —— 未初始化（如未登录）的 session 不写入 Redis，节省空间
- rolling: true —— 每次有效请求都刷新过期时间，实现“活跃即续期”
- cookie.maxAge 与 Redis TTL 保持一致（如都设为 1800000ms），防止 Cookie 还有效但 Redis 数据已删
- 连接 Redis 时启用 socket.keepAlive 和合理超时（connectTimeout、socket.timeout），避免网络抖动引发 session 读取失败
安全与容错要点
生产环境不能只图快，还要防丢、防劫持、防爆破：
- Cookie 必须设 httpOnly: true（阻止 XSS 读取 session ID）、secure: true（仅 HTTPS 传输）、sameSite: 'lax'（防 CSRF）
- Redis 连接建议加密码，并限制 IP 访问（如只允许应用服务器网段）
- 登出时不只是删除 Cookie，更要调用 req.session.destroy() 主动删 Redis 中对应 key
- 对高频无效 session ID（如暴力扫描）可加简单限流，或结合 Redis 的 INCR + EXPIRE 做请求计数防护
