Как реализовать сеансы на стороне сервера в node.js с экспресс-приложением для Android?

Я попытаюсь ответить на это, но это расплывчато (как вы указали). Я собираюсь сделать предположение, что ваше Android-приложение является родным Android-приложением и будет подключаться к некоторому бэкэнду NodeJS в облаке, основанному на ExpressJS. Если это не так, пожалуйста, уточните свои мысли в обновлении вашего вопроса.

Лучшая идея для этого конкретного сценария — обратиться к облачному провайдеру. Мобильные приложения Службы приложений Azure, например, позволяют реализовать аутентификацию — в конечном итоге она возвращает веб-токен JSON (http://jwt.io) для аутентификации каждого запроса.

Если вы не хотите быть обязанным облачному провайдеру, но хотите запустить его самостоятельно, вам придется реализовать генерацию токена и проверку самостоятельно. Обычно это выглядит следующим образом:

• Настройте конечную точку WebAPI (возможно, /signin), которая принимает любой токен, предоставленный вам поставщиком удостоверений, проверяет информацию и возвращает JWT — для создания JWT существует модуль NPM (jsonwebtoken). Убедитесь, что JWT включает идентификатор вашего пользователя. Я склонен использовать адрес электронной почты для идентификации.
• Ваше Android-приложение будет выполнять запрос WebAPI к вашему бэкэнду с заголовком авторизации, значением которого является «Bearer».
• Ваш NodeJS API будет использовать авторизацию JWT для проверки JWT и извлечения удостоверения пользователя, чтобы вы могли использовать его в своей логике API.

В этом конкретном сценарии важно отметить, что ваш серверный код реализует WebAPI — в API нет ни файлов cookie, ни сеансов. Единственное, что связывает пользователя из клиентского кода с внутренним кодом, — это JWT.

В качестве короткого фрагмента кода, вот как вы проверяете JWT:

var express = require('express');
var app = express();
var jwt = require('express-jwt');

var jwtCheck = jwt({
  secret: new Buffer('your-jwt-secret', 'base64'),
  audience: 'your-jwt-audience'
});

app.get('/api/protected', jwtCheck, (req, res) => {
// Your code here
});

app.listen(process.env.PORT || 3000);