Когда пользователь запрашивает у сервера ваш сайт, он же формирует стандартный http запрос. В этом запросе есть куча заголовков, но для вашей цели вам интересны всего два - это заголовки с куками, у экспресса есть мидл который их распарсит, в них можете писать что чувак уже был у вас, а затем проверять это, однако если он их почистит, то это опять новый пользователь, тогда в добавок можно использовать заголовок с ip адресом, точно не помню как он в экспрессе берется, что типо req.remoteAdress короче в доке найдете. Вот с помощью этих двух механизмов можно их отслеживать, ну еще в теории геолокация но это уже лишнее) айпишник и куки.
