Разобрался с текущей авторизацией на сервере. Добавил комментарии во многие модули.
Список ключевых изменений:
- добавил middleware, который проверяет авторизацию перед открытием страницы и не открывает её, если пользователь не авторизован (поставил на чат)
- поменял алгоритм шифрования пароля с sha-1 на sha-2 и уменьшил максимальное число повторений пароля перед шифрованием с 10 до 5 (вынес параметр в конфиг)
- удалил метод get у поля password схемы user.js
- немного поменял передачу ошибок при регистрации и авторизации
- при регистрации и ошибке в повторном пароле поля теперь очищаются, а сама ошибка на русском
- поменял название cookie с NODESESID на SessionID - так понятнее и не выдает внешним пользователям информацию о сервере (что он  на Node.js)
- middleware checkSession.js переименовал в название, отражающее его смысл - user_for_req.js
- убрал app.get('env') из кода - все переменные должны из конфига считываться, чтобы не запутаться. Также согласовал по коду 'dev' и 'development'. Теперь везде 'development'
- обновил диаграмму Ганта по текущему патчу