学习笔记：Node.js会话控制

唱唱鸽
123 阅读5分钟

是什么？

所谓会话控制就是 对会话进行控制

HTTP 是一种无状态的协议，它没有办法区分多次的请求是否来自于同一个客户端，无法区分用户而产品中又大量存在的这样的需求，所以我们需要通过会话控制来解决该问题

常见的会话控制技术有三种：

  • cookie
  • session
  • token

cookie

1. 是什么？

cookie 是 HTTP 服务器发送到用户浏览器并保存在本地的一小块数据

  • cookie 是保存在浏览器端的一小块数据
  • cookie 是按照域名划分保存的

简单示例：

域名cookie
www.baidu.coma=100; b=200
www.bilibili.comxid=1020abce121; hm=112411213

2. 特点

  • 特性

    • 可以理解为 HTTP 的一个请求头
    • 可以实现跨页面全局变量
    • cookie可以跨越同域名下的多个网页，即同一个网站中所有页面共享一套cookie，但不能跨越多个域名使用，
    • 不同浏览器中的 cookie 是相互独立的，不共享
    • 可以设置有效期限
    • 存储空间4-10KB左右

  • 优点：

    1. 跨页面全局变量

  • 缺点：

    1. 可能被禁用
    2. 可能被删除
    3. 与浏览器相关，不能相互访问
    4. 安全性不高
    5. 存储空间小

3. 运行流程

  1. 浏览器端填写账号和密码发送到服务器端校验身份，服务器端校验通过后下发cookie返还给浏览器端

image.png

  1. 浏览器端有了cookie之后，后续向服务器端发送请求时，就会自动携带cookie

image.png

4. 浏览器操作cookie

浏览器操作cookie的操作，使用相对较少，了解即可：

  • 查看 cookie
  • 删除 cookie
  • 禁用所有cookie

小提示：Edge浏览器可以在设置中搜索cookie查看各个域名下cookie的具体信息

5. cookie代码示例

使用express框架时，可以使用三方包cookie-parser对cookie进行操作

const express = require('express');
//1. 安装 cookie-parser npm i cookie-parser
//2. 引入 cookieParser 包
const cookieParser = require('cookie-parser');

const app = express();
//3. 设置 cookieParser 中间件
app.use(cookieParser());

//4-1 设置 cookie
app.get('/set-cookie', (request, response) => {
    // 不带时效性
    response.cookie('username','wangwu');
    // 带时效性
    response.cookie('email','23123456@qq.com', {maxAge: 5*60*1000 });
    //响应
    response.send('Cookie的设置');
});

//4-2 读取
cookie app.get('/get-cookie', (request, response) => {
    //读取 cookie
    console.log(request.cookies);
    //响应体
    response.send('Cookie的读取');
})

//4-3 删除cookie
app.get('/delete-cookie', (request, response) => {
    //删除
    response.clearCookie('username');
    //响应
    response.send('cookie 的清除');
});
//4. 启动服务
app.listen(3000, () => { console.log('服务已经启动....'); });

session

1. 是什么？

session 是保存在 服务器端的一块儿数据 ，保存当前访问用户的相关信息

2. 作用

实现会话控制，可以识别用户的身份，快速获取当前用户的相关信息

3. 运行流程

  1. 浏览器端填写账号和密码发送到服务器端校验身份，服务器端校验通过后创建并保存session信息，然后将session_id以响应cookie的方式返还给浏览器端

image.png

  1. 浏览器端有了cookie之后，后续向服务器端发送请求时，就会自动携带cookie，服务器端通过cookie中的session_id查找对应的session信息确认用户身份

image.png

3. session代码示例

使用express框架时，可以使用三方包express-session对session进行操作

const express = require('express');
//1. 安装包 npm i express-session connect-mongo
//2. 引入 express-session connect-mongo
const session = require("express-session");
const MongoStore = require('connect-mongo');

const app = express();
//3. 设置 session 的中间件
app.use(session({
    name: 'sid', //设置cookie的name，默认值是：connect.sid
    secret: 'atguigu', //参与加密的字符串（又称签名）
    saveUninitialized: false, //是否为每次请求都设置一个cookie用来存储session的id
    resave: true, //是否在每次请求时重新保存session
    store: MongoStore.create({
        mongoUrl: 'mongodb://127.0.0.1:27017/project' //数据库的连接配置
    }),
    cookie: { httpOnly: true, // 开启后前端无法通过 JS 操作 maxAge: 1000 * 300 // 这一条 是控制 sessionID 的过期时间的！！！ },

//创建 session
app.get('/login', (req, res) => {
    //设置session
    req.session.username = 'zhangsan';
    req.session.email = 'zhangsan@qq.com'
    res.send('登录成功');
})

//获取 session
app.get('/home', (req, res) => {
    console.log('session的信息');
    console.log(req.session.username);
    if (req.session.username) {
        res.send(`你好 ${req.session.username}`);
    }else{
        res.send('登录 注册');
    }
})

//销毁 session
app.get('/logout', (req, res) => {
    //销毁session
    // res.send('设置session');
    req.session.destroy(() => {
        res.send('成功退出');
    });
});

app.listen(3000, () => {
    console.log('服务已经启动, 端口 ' + 3000 + ' 监听中...')
});

session 和 cookie 的区别

cookie 和 session 的区别主要有如下几点：

  1. 存在的位置
    • cookie：浏览器端
    • session：服务端
  2. 安全性
    • cookie 是以明文的方式存放在客户端的，安全性相对较低
    • session 存放于服务器中，所以安全性相对较好
  3. 网络传输量
    • cookie 设置内容过多会增大报文体积， 会影响传输效率
    • session 数据存储在服务器，只是通过 cookie 传递 id，所以不影响传输效率
  4. 存储限制
    • 浏览器限制单个 cookie 保存的数据不能超过4K，且单个域名下的存储数量也有限制
    • session 数据存储在服务器中，所以没有这些限制

token

1. 是什么？

token是服务端生成并返回给 HTTP 客户端的一串加密字符串token中保存着用户信息

2. 作用

实现会话控制，可以识别用户的身份，主要用于移动端APP

3. 工作流程

  1. 客户端填写账号和密码发送到服务端校验身份，服务器端校验通过以响应token的方式返还给客户端，一般是在响应体中返回的

image.png

  1. 客户端有了token之后，后续向服务端发送请求时，需要手动将token添加到请求报文中发送给服务端，一般是放在请求头中

image.png

4. 特点

  • 服务端压力更小
    • 数据存储在客户端
  • 相对更安全
    • 数据加密
    • 可以避免CSRF（跨站请求伪造）
  • 扩展性更强
    • 服务器直接可以共享
    • 增加服务节点更简单

5. JWT

# JWT 基础概念详解

JWT（JSON Web Token ）是目前最流行的跨域认证解决方案，可用于基于 token 的身份验证

JWT 使 token 的生成与校验更规范

image.png

我们可以使用 jsonwebtoken 包 来操作 token

//导入 jsonwebtokan
const jwt = require('jsonwebtoken');
//创建 token
// jwt.sign(数据, 加密字符串, 配置对象)
let token = jwt.sign({
    username: 'zhangsan'
}, 'atguigu', {
    expiresIn: 60 //单位是 秒
})

//解析 token
jwt.verify(token, 'atguigu', (err, data) => {
    if(err){
        console.log('校验失败~~');
        return
    } 
    console.log(data);
})
avatar
文章
阅读
粉丝