Я действительно смущен app.locals и res.locals, потому что я не знаю, КОГДА я должен использовать их и как? И на самом деле я хочу знать жизненный цикл app.locals и res.locals.
Например, где я должен сохранять данные пользователя (аутентифицированного пользователя) (имя пользователя, роли и т.д.)? В app.locals или res.locals?
Вы можете считать app.locals глобальным. Некоторые примеры вещей, которые вы можете захотеть сохранить в app.locals: URL-помощники, константы уровня приложения. Вы должны положить что-нибудь здесь, что вы хотите доступным в каждом представлении.
res.locals хранит данные только для определенного ответа (который отвечает на конкретный запрос). Например, GET/что-то создаст новый res.locals, который пройдет через все промежуточное ПО, отвечающее на "/something". Соответствующая информация здесь - это материал, например, аутентифицированные данные пользователя из вашего вопроса.
Жизненный цикл выглядит так, где ваши обязанности выделены жирным шрифтом (все остальное делается для вас экспресс):