Алексей

Сокеты

Создать столбец last_seen и при запросе инициализации сессии добавлять туда timestamp.

Так как API простенький, она будет выполнять эти запросы, если конечно они будут валидными.

Дак этим апи и должен заниматься. Безопасность то в чем пострадает ? Если боитесь наплыва запросов, ставьте ограничение на токен или с помощью чего-то вроде https://github.com/koajs/ratelimit

Раз уж это не какаянибудь sqllite3, то может будет иметь смысл просто создать отдельного юзера на эту базу с правами только чтение и уже тягать с того сервера напрямую ? Странный посредник получается.

Параллельно чему ? Если Саша совершает действие, которое блокирует приложение на 10 секунд, то там не только Петя, но и все остальные будут ждать. Любую другую ситуацию ты можешь симулировать с setTimeout. Event loop на то и луп, что там нет потоков как таковых, можно конечно воркеров напихать в ноду, но это уже другая история.

Дак вы ведь сразу же после окончания запроса x.on('end') завершаете и ответ y.end()