Владимир Скибин

Для организации всех socket - при коннекте закидывайте его в "комнату" с его "userid". Таким образом сможете заэмитить для всех сокетов нашего пользователя нужное событие. Также по примеру того же passport - в middleware для socket - если пользователь авторизован - докиньте в socket user-а и он будет тебе доступен в следующих местах.

Используйте CORS если у Вас авторизация происходит на другом своем сервисе и используйте единой хранилище сессий для двух серверов
https://expressjs.com/en/resources/middleware/cors.html

body-parser не контролирует загрузку файлов (multipart), потому ограние коснется только данных
express-fileupload использует парсер от busboy, лимиты для которого собственно ограничивают распознавание файлов размером, который Вы указали. Т.е. загрузжаться будут, но не будут парситься.
Для ограничения именно загрузки POST body используйте nginx как ограничитель, а nodejs как обработчик только.