一、Web 开发模式
目前主流的 Web 开发模式有两种，分别是:
- 基于服务端染的传统 Web 开发模式
- 基于前后端分离的新型 Web 开发模式
1. 服务端染的 Web 开发模式
概念:
服务器发送给客户端的 HTML 页面，是在服务器通过字符串的拼接，动态生成的。因此，客户端不需要使用 Ajax 这样的技术额外请求页面的数据。代码示例如下:
server.get('/index.html', (req, res) => {
// 1，要消染的数据
const user = { name: "zs", age: 20 }
// 2.服务器端通过字符审的拼接，动态生成 HTML 内容
const html = `<h1>姓名: ${user.name}, 年龄: ${user.age}</h1>`
// 3，把生成好的页面内容响成给客户端。因此，客户端拿到的是带有真实数掘的 HTML 页面
res.send(html)
})
服务端染的优缺点
优点:
-
前端耗时少。因为服务器端负责动态生成 HTML 内容，浏览器只需要直接渲染页面即可。尤其是移动端，更省电。
-
有利于SEO。因为服务器端响应的是完整的 HTML 页面内容，所以爬虫更容易爬取获得信息，更有利于 SEO。
缺点：
-
占用服务器端资源。即服务器端完成 HTML 页面内容的拼接，如果请求较多，会对服务器造成一定的访问压力。
-
不利于前后端分离，开发效率低。使用服务器端渲染，则无法进行分工合作，尤其对于前端复杂度高的项目，不利于项目高效开发。
2. 前后端分离的 Web 开发模式
概念:
前后端分离的开发模式，依赖于 Ajax 技术的广泛应用。简而言之，前后端分离的 Web 开发模式就是后端只负责提供 API 接口，前端使用 Ajax 调用接口的开发模式。
前后端分离的优缺点：
优点:
- 开发体验好。前端专注于 UI页面的开发，后端专注于api的开发，且前端有更多的选择性。
- 用户体验好。Ajax 技术的广泛应用，极大的提高了用户的体验，可以轻松实现页面的局部刷新。
- 减轻了服务器端的渲染压力。因为页面最终是在每个用户的浏览器中生成的。
缺点:
不利于 SEO，因为完整的 HTML页面需要在客户端动态拼接完成，所以爬虫对无法爬取页面的有效信息。(解决方案:利用Vue、React等前端框架的 SSR (server side render) 技术能够很好的解决SEO 问题!)
3. 如何选择 Web开发模式
不谈业务场景而盲目选择使用何种开发模式都是耍流氓。
比如企业级网站，主要功能是展示而没有复杂的交互，并且需要良好的 SEO，则这时我们就需要使用服务器端渲染。
而类似后台管理项目，交互性比较强，不需要考虑 SEO，那么就可以使用前后端分离的开发模式。
另外，具体使用何种开发模式并不是绝对的，为了同时兼顾了首页的渲染速度和前后端分离的开发效率，一些网站采用了首屏服务器端渲染加其他页面前后端分离的综合开发模式。
二、身份认证
1. 基本概念
身份认证(Authentication)又称“身份验证”、“鉴权”，是指通过一定的手段，完成对用户身份的确认。
日常生活中的身份认证随处可见，例如:高铁的验票乘车，手机的密码或指纹解锁，支付宝或微信的支付密码等。
在 Web 开发中，也涉及到用户身份的认证，例如: 各大网站的手机验证码登录、邮箱密码登录、二维码登录等。
2. 身份认证的目的
身份认证的目的，是为了确认当前所声称为某种身份的用户，确实是所声称的用户。例如，你去找快递员取快递，你要怎么证明快递是你的。
在互联网项目开发中，如何对用户的身份进行认证，是一个值得深入探讨的问题。例如，如何才能保证网站不会错误的将 “马云的存款数额” 显示到 “马化腾的账户” 上。
3. 不同开发模式下的身份认证
对于服务端渲染和前后端分离这两种开发模式来说，分别有看不同的身份认证方案：
- 服务端渲染推荐使用 Session 认证机制
- 前后端分离推荐使用 JWT 认证机制
三、无状态的 HTTP
1. 理解无状态
了解 HTTP协议的无状态性是进一步学习 Session 认证机制的必要前提。
HTTP 协议的无状态性，指的是客户端的每次 HTTP 请求都是独立的，连续多个请求之间没有直接的关系，服务器不会主动保留每次 HTTP 请求的状态。
如上图所示，我们生活中的例子，超市收银员不会记录每次客户是否为会员的信息，服务器也不会保留客户端每次访问的信息。
如何突破 HTTP 无状态的限制
对于超市来说，为了方便收银员在进行结算时给 VIP 用户打折，超市可以为每个 VP 用户发放会员卡。
同样的原理， 服务器也可以为第一次访问的客户端颁发一个登录成功的标识，在之后的访问中识别此客户。
注意: 现实生活中的会员卡身份认证方式在 Web 开发中的专业术语叫做 Cookie。
2. Cookie
2.1 基本概念
Cookie 是存储在用户浏览器中的一段不超过 4 KB 的字符串。它由一个名称 (Name)、一个值 (Value) 和其它几个用于控制 Cookie 有效期、安全性、使用范国的可选属性组成。
不同域名下的 Cookie 各自独立，每当客户端发起请求时，会自动把当前域名下所有未过期的 Cookie 一同发送到服务器
特性：自动发送、域名独立、有过期时限、大小4kb限制。
2.2 Cookie 的作用
客户端第一次请求服务器的时候，服务器通过响应头的形式，向客户端发送一个身份认证的 Cookie，客户端会自动将 Cookie 保存在浏览器中
随后，当客户端浏览器每次请求服务器的时候，浏览器会自动将身份认证相关的 Cookie，通过请求头的形式发送给服务器，服务器即可验明客户端的身份。
2.3 不安全的 Cookie
由于 Cookie 是存储在浏览器中的，而且浏览器也提供了读写 Cookie 的 API，因此 Cookie 很容易被伪造，不具有安全性。因此不建议服务器将重要的隐私数据，通过 Cookie 的形式发送给浏览器。
注意:千万不要使用 Cookie 存储重要且隐私的数据! 比如用户的身份信息、密码等。
2.4 提高身份认证的安全性
为了防止客户伪造会员卡，收银员在拿到客户出示的会员卡之后，可以在收银机上进行刷卡认证。只有收银机确认存在的会员卡，才能被正常使用。
这种 “会员卡 + 刷卡认证” 的设计理念，就是 Session 认证机制的精髓。
