Я бы предложил использовать две разные функции промежуточного программного обеспечения для разделения двух разных задач - аутентификации и обслуживания статических ресурсов:
app.get('/game/', ensureAuthenticated, express.static(__dirname + '/game'), sendGameIndex);
function ensureAuthenticated(req, res, next) {
if (req.session.user) {
next();
} else {
res.send('not logged in ');
}
}
function sendGameIndex(req, res) {
res.sendFile(__dirname + '/game/index.html');
}