Node.js会话控制

会话控制

所谓会话控制就是对会话进行控制。HTTP 是一种无状态的协议，它没有办法区分多次的请求是否来自于同一个客户端，无法区分用户而产品中又大量存在的这样的需求，所以我们需要通过会话控制来解决该问题。

常见的会话控制技术有三种：

• cookie
• session
• token

Cookie

cookie 是 HTTP 服务器发送到用户浏览器并保存在本地的一小块数据，保存在浏览器端的一小块数据且是按照域名划分保存的。

express 中可以使用 cookie-parser 来进行对 cookie 的操作。

// 导入express
const express = require('express')
const cookieParser = require('cookie-parser')

// 创建应用对象
const app = express()
app.use(cookieParser())

// 创建路由
app.get('/', (req, resp) => {
    resp.send('home')
})

// 设置cookie
app.get('/set-cookie', (req, resp) => {
    // 在浏览器关闭时会销毁
    // resp.cookie('name', 'zhangsan')

    // 设置 cookie 的过期时间。设置一分钟以后过期
    resp.cookie('name', 'lisi', {maxAge: 60 * 1000})

    resp.send('hello world')
})

// 获取 cookie
app.get('/get-cookie', (req, resp) => {
    console.log(req.cookies)
    resp.send(`欢迎您${req.cookies.name}`)
})

// 删除 cookie
app.get('/remove-cookie', (req, resp) => {
    resp.clearCookie('name')
    resp.send('删除cookie成功')
})

// 监听端口，启动服务
app.listen(3000, () => {
    console.log('服务启动成功')
})

不同浏览器中的 cookie 是相互独立的，不共享。

session

session 是保存在服务器端的一块儿数据 ，保存当前访问用户的相关信息。

express 中可以使用 express-session 对 session 进行操作。 示例代码：

// 引入模块
const express = require('express')
const session = require('express-session')
const MongoStore = require('connect-mongo')

// 创建应用服务
const app = express()
// 设置 session 的中间件
app.use(session({
    // 设置 cookie 的 name，默认值是：connect.sid
    name: 'sid',
    // 参与加密的字符串（又称签名）  加盐
    secret: '123456',
    // 是否为每次请求都设置一个cookie用来存储session的id
    saveUninitialized: false,
    // 是否在每次请求时重新保存session  20 分钟    4:00  4:20
    resave: true,
    store: MongoStore.create({
        //数据库的连接配置
        mongoUrl: 'mongodb://127.0.0.1:27017/test'
    }),
    cookie: {
        // 开启后前端无法通过 JS 操作
        httpOnly: true,
        // 这一条 是控制 sessionID 的过期时间的！！！ 5分钟过期
        maxAge: 5 * 60 * 1000
    }
}))

// 创建路由
app.get('/', (req, resp) => {
    resp.send('home')
})

// 登录时设置 session
app.get('/login', (req, resp) => {
    // 校验一下用户名密码是否正确
    if (req.query.username === 'admin' && req.query.password === 'admin') {
        // 设置 session 信息
        req.session.username = req.query.username
        req.session.uid = '258aefccc'
        resp.send('登录成功')
    } else {
        resp.send('登录失败')
    }
})

// 获取 session
app.get('/cart', (req, resp) => {
    // 检测 session 是否存在用户信息
    if (req.session.username) {
        resp.send(`欢迎您${req.session.username}`)
    } else {
        resp.send('请先登录')
    }
})

// 退出登录删除 session
app.get('/logout', (req, resp) => {
    req.session.destroy(() => {
        resp.send('成功退出登录')
    })
})

// 监听端口，启动服务
app.listen(3000)

session 和 cookie 的区别 cookie 和 session 的区别主要有如下几点：

• 存在的位置
  • cookie：浏览器端
  • session：服务端
• 安全性
  • cookie 是以明文的方式存放在客户端的，安全性相对较低
  • session 存放于服务器中，所以安全性相对较好
• 网络传输量
  • cookie 设置内容过多会增大报文体积，会影响传输效率
  • session 数据存储在服务器，只是通过 cookie 传递 id，所以不影响传输效率
• 存储限制
  • 浏览器限制单个 cookie 保存的数据不能超过 4K，且单个域名下的存储数量也有限制
  • session 数据存储在服务器中，所以没有这些限制

token

token 是服务端生成并返回给 HTTP 客户端的一串加密字符串， token 中保存着用户信息。

token 的特点：

• 服务端压力更小
• 数据存储在客户端
• 相对更安全
• 数据加密
• 可以避免 CSRF（跨站请求伪造）
• 扩展性更强
• 服务间可以共享
• 增加服务节点更简单

JWT（JSON Web Token） 是目前最流行的跨域认证解决方案，可用于基于 token 的身份验证 JWT 使 token 的生成与校验更规范，可以使用 jsonwebtoken 包来操作 token。

// 引入 jwt
const jwt = require('jsonwebtoken')

// 生成 token
// jwt.sign(用户数据，加密字符串，配置对象)
let token = jwt.sign({
    username: 'admin'
}, '123456', {
    // 单位秒 60秒后过期
    expiresIn: 60
})

// eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6ImFkbWluIiwiaWF0IjoxNjg1NTE5NTkzLCJleHAiOjE2ODU1MTk2NTN9.IP90SEMbkzaBGnxVDoq63IHWzQ8crbfapvYCylGZhhg
console.log(token)

// 校验 token
jwt.verify(token, '123456', (error, data) => {
    if (error) {
        console.log('token 校验失败', error)
        return
    }
    console.log(data)
})