会话控制

一、介绍

所谓会话控制就是对会话进行控制
HTTP 是一种无状态的协议，它没有办法区分多次的请求是否来自于同一个客户端，无法区分用户
而产品中又大量存在这样的需求，所以我们需要通过会话控制来解决该问题
常用的会话控制技术有三种

Cookie
Session
Token

二、Cookie

2.1 Cookie 是什么

Cookie 是 HTTP 服务器发送到用户浏览器，并保存在本地的一小块数据
cookie 是保存在浏览器端端一小块数据
cookie 是按照域名划分保存的
示例：

域名	cookie
www.baidu.com	a=100;b=200
www.bilibili.com	xid=1234adc234;hm=1122334455
jd.com	x=100;ocw=1234cce

2.2 cookie 的特点

浏览器向服务器发送请求时，会自动将当前域名下可用的 cookie 设置在请求头中，然后传递给服务器
这个请求头的名字也叫 'cookie'，所以将 cookie 理解为一个 HTTP 请求头也是可以的

2.3 cookie 的运行流程

填写账号和密码校验身份，校验通过后下发 cookie
有了 cookie 之后，后续向服务器发送请求时，就会自动携带cookie

2.4 浏览器操作 cookie

浏览器操作cookie的操作使用相对较少，了解即可

禁用所有 cookie
删除 cookie
查看 cookie

浏览器设置内搜索 cookie 自行了解

2.5 express 使用 cookie

2.5.1 设置 cookie

const express = require('express');
const app = express();

// 设置cookie
app.get('/set-cookie', (req, res)=>{
    // 浏览器关闭时 cookie 销毁
    res.cookie('name', 'zhangsan');
    // 设置 cookie 过期时间  毫秒为单位  
    res.cookie('name', 'lisi', {maxAge: 60 * 1000});
    res.send('成功');
})

app.listen(8080, () => {
    console.log('启动');
});

2.5.2 删除 cookie

// 删除cookie
app.get('/remove-cookie', (req, res)=>{
    res.clearCookie('name');
    res.send('成功');
})

2.5.3 获取 cookie

npm i cookie-parser

// 引用
const cookieParser = require('cookie-parser')
// 定义 cookieParser 中间件
app.use(cookieParser)

// 获取 cookie
app.get('/get-cookie', (req, res)=>{
    // 获取 cookie
    console.log(req.cookies)
    res.send('成功');
})

三、session

3.1 session 是什么

session是保存在服务器端的一块数据，保存当前访问用户的相关信息

3.2 session 的作用

实现会话控制，可以识别用户的身份，快速获取当前用户的相关信息

3.3 session 运行流程

填写账号和密码校验身份，校验通过后创建 session 信息，然后将 session_id 的值通过响应头返回给浏览器
有了 cookie，下次发送请求时会自动携带 cookie，服务通过 cookie 中的 session_id 的值确定用户信息

3.4 session 操作

express 中可以使用express-session 对 session 进行操作

npm i express-session
npm i connect-mongo

const session = require('express-session');
const MongoStore = require('connect-mongo');
// 设置 session 中间件
app.use(session({
    name: 'sid',  // 设置cookie的name，默认值是：connect.sid
    secret: 'zheshiyigelianxi', // 参与加密的字符串（又称签名）
    saveUninitialized: false, // 是否每次请求都设置一个cookie用来存储session的ID
    resave: true, // 是否每次请求时重新保存session
    store: MongoStore.create({
        mongoUrl: 'mongodb://127.0.0.1:27017/bilibili' // 数据库的连接配置
    }),
    cookie: {
        httpOnly: true, // 开启后前后端无法通过js操作 只能传输使用
        maxAge: 1000 * 300 // 控制sessionID的过期时间
    }
}));

// 创建session
app.get('/login', (req, res) => {
    if (req.query.username === 'admin' && req.query.password === 'admin') {
        req.session.username = 'admin';
        res.send('success');
    } else {
        res.send('error');
    };
});
//  session获取
app.get('/cart', (req, res) => {
    if (req.session.username) {
        res.send(`欢迎${req.session.username}登陆～`);
    } else {
        res.send('还没登陆呢～');
    };
})
// session 销毁
app.get('/loginout', (req, res) => {
    req.session.destroy(() => {
        res.send('退出成功');
    })
});

四、session 和 cookie 的区别

cookie 和 session 的区别主要有以下几点：

存放的位置
- cookie 浏览器端
- session 服务端
安全性
- cookie 是以明文的方式存放在客户端的，安全性相对较低
- session 存放与服务器中，所以安全性相对较好
网络传输量
- cookie 设置内容过多会增大报文体积，会影响传输效率
- session 数据存储在服务器，只是通过 cookie 传递 ID，所以不影响传输效率
存储限制
- 浏览器限制单个 cookie 保存的数据不能超过4k，且单个域名下的存储数量也有限制
- session 数据存储在服务器中，所以没有这些限制

五、token

5.1 token 是什么

Token 是服务端生成并返回给 HTTP 客户端的一串加密字符串，Token 中保存着用户信息

5.2 token 的作用

实现会话控制，可以识别用户的身份，主要用于移动端 App

5.3 token 的工作流程

填写账号和密码校验身份，校验通过后响应 token，token 一般是在响应体中返回给客户端的
后续发送请求时，需要手动将 token 添加在请求报文中，一般是放在请求头中

5.4 token 的特点

服务端压力更小
- 数据存储在客户端
相对更安全
- 数据加密
- 可以避免 CSRF（跨站请求伪造）
扩展性更强
- 服务间可以共享
- 增加服务节点更简单

5.5 JWT

JWT (JSON Web Token) 是目前最流行的跨域认证解决方案，可用于基于 Token 的身份验证
JWT 使 token 的生成与校验更规范
可以使用 jsonwebtoken 包来操作 token

// 导入 jwt
const jwt = require('jsonwebtoken');
// 创建（生成）token
// let token = jwt.sign(用户数据, 加密字符串, 配置对象);
let token = jwt.sign({
    username: 'zhangsan'
}, 'zheshiyigelianxi', {
    expiresIn: 60, // 生命周期 单位是秒
});
// 校验token
// jwt.verify(token值, 加密字符串, (err, data)=>{})
jwt.verify(token, 'zheshiyigelianxi', (err, data) => {
    if (err) {
        console.log('校验失败');
        return;
    }
    console.log(data)
})
// console.log(token)

六、域名

6.1 本地域名

所谓本地域名技术只能在本机使用的域名，一般在开发阶段使用

6.1.1 6.1.2 原理

在地址栏输入域名之后，浏览器会先进行 DNS (Domain Name System) 查询，获取该域名对应的 IP 地址
请求发送到 DNS 服务器，可以根据域名返回 IP 地址
可以通过 ipconfig /all 查看本机的 DNS 服务器
hosts 文件也可以设置域名与 IP 的映射关系，在发送请求前，可以通过该文件获取域名的 IP 地址

Node.js - 会话控制