node-cookie- session
为什么80%的码农都做不了架构师?>>>
cookie
- 在web应用中,多个请求之间共享“用户会话”是非常必要的。但HTTP1.0协议是无状态的。那这时Cookie就出现了。那Cookie又是如何处理的呢?
Cookie的处理:
- 服务端向客户端发送Cookie
- 客户端的浏览器把Cookie保存
- 然后在每次请求浏览器都会将Cookie发送到服务端
在HTML文档被发送之前,Web服务器通过传送HTTP 包头中的Set-Cookie 消息把一个cookie 发送到用户的浏览器中,如下示例:
- Set-Cookie: name=value; Path=/; expires=Wednesday, 09-Nov-99 23:12:40 GMT;
其中比较重要的属性:
- name=value:键值对,可以设置要保存的 Key/Value,注意这里的 name 不能和其他属性项的名字一样
- Expires: 过期时间(秒),在设置的某个时间点后该 Cookie 就会失效,如 expires=Wednesday, 09-Nov-99 23:12:40 GMT
- maxAge: 最大失效时间(毫秒),设置在多少后失效
- secure: 当 secure 值为 true 时,cookie 在 HTTP 中是无效,在 HTTPS 中才有效
- Path: 表示 cookie 影响到的路,如 path=/。如果路径不能匹配时,浏览器则不发送这个Cookie
- httpOnly: 是微软对COOKIE做的扩展。如果在COOKIE中设置了“httpOnly”属性,则通过程序(JS脚本、applet等)将无法读取到COOKIE信息,防止XSS攻击产生
nodejs中的cookie
nodejs是如何想客户端发送cookie的呢? 有两个中方案:
- 使用response.writeHead,代码如下:
//设置过期时间为一分钟 var today = new Date(); var time = today.getTime() + 60*1000; var time2 = new Date(time); var timeObj = time2.toGMTString(); response.writeHead({ 'Set-Cookie':'myCookie="type=ninja", "language=javascript";path="/";Expires='+timeObj+';httpOnly=true' });
缺点:使用response.writeHead只能发送一次头部,即只能调用一次,且不能与response.render共存,否则会报错。
- 使用response.cookie,代码示例如下:
response.cookie('haha', 'name1=value1&name2=value2', {maxAge:10*1000, path:'/', httpOnly:true});
语法: response.cookie('cookieName', 'name=value[name=value...]',[options]);
options 每个字段的意思在上文中都讲解了,这里不再重复阐述了。
cookie的简单使用
express 在 4.x 版本之后,管理session和cookies等许多模块都不再直接包含在express中, `而是需要单独下载安装相应模块。
cookieParser安装:$ npm install cookie-parser
使用方法:
var express = require('express'); var cookieParser = require('cookie-parser');var app = express(); app.use(cookieParser());app.get('/', function (req, res) {// 如果请求中的 cookie 存在 isVisit, 则输出 cookie// 否则,设置 cookie 字段 isVisit, 并设置过期时间为1分钟if (req.cookies.isVisit) {console.log(req.cookies);res.send("再次欢迎访问");} else {res.cookie('isVisit', 1, {maxAge: 60 * 1000});res.send("欢迎第一次访问");} }); app.listen(80);
什么是session?
session是另一种记录客户状态的机制,不同的是Cookie保存在客户端浏览器中,而session保存在服务器上。
客户端浏览器访问服务器的时候,服务器把客户端信息以某种形式记录在服务器上,这就是session。客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了。
如果说Cookie机制是通过检查客户身上的“通行证”来确定客户身份的话,那么session机制就是通过检查服务器上的“客户明细表”来确认客户身份。
session相当于程序在服务器上建立的一份客户档案,客户来访的时候只需要查询客户档案表就可以了。
两者的区别:
cookie数据存放在客户的浏览器上,session数据放在服务器上。
cookie不是很安全,别人可以分析存放在本地的COOKIE并进行COOKIE欺骗 考虑到安全应当使用session。
session会在一定时间内保存在服务器上。当访问增多,会比较占用你服务器的性能 考虑到减轻服务器性能方面,应当使用COOKIE。
单个cookie保存的数据不能超过4K,很多浏览器都限制一个站点最多保存20个cookie。
所以建议:将登陆信息等重要信息存放为session、其他信息如果需要保留,可以放在cookie中
session的简单应用
跟cookie一样都需要单独的安装和引用模块, 安装模块:$sudo npm install express-session 主要的方法就是 session(options),其中 options 中包含可选参数,主要有:
- name: 设置 cookie 中,保存 session 的字段名称,默认为 connect.sid 。
- store: session 的存储方式,默认存放在内存中,也可以使用 redis,mongodb 等。express 生态中都有相应模块的支持。
示例:
- secret: 通过设置的 secret 字符串,来计算 hash 值并放在 cookie 中,使产生的 signedCookie 防篡改。
- cookie: 设置存放 session id 的 cookie 的相关选项,默认为 (default: { path: '/', httpOnly: true, secure: false, maxAge: null })
- genid: 产生一个新的 session_id 时,所使用的函数, 默认使用 uid2 这个 npm 包。
- rolling: 每个请求都重新设置一个 cookie,默认为 false。
- resave: 即使 session 没有被修改,也保存 session 值,默认为 true。
var express = require('express'); var session = require('express-session'); var app = express();app.use(session({secret: 'hubwiz app', //secret的值建议使用随机字符串cookie: {maxAge: 60 * 1000 * 30} // 过期时间(毫秒) })); app.get('/', function (req, res) {if (req.session.sign) {//检查用户是否已经登录console.log(req.session);//打印session的值res.send('welecome <strong>' + req.session.name + '</strong>, 欢迎你再次登录');} else {req.session.sign = true;req.session.name = 'moon';res.send('欢迎登陆!');} }); app.listen(80);
存储到mongodb数据库
在上一章中完成的示例中我们尝试一下:登录后,重新启动node app,然后刷新访问测试页面。我们会发现session丢了! 这是因为session会默认的存储到内存当中。也就是说session数据都是存储在内存当中的,当进程退出后,session数据就会丢失。
在开发环境中,这也许并不算什么坏事。但是如果线上的应用是这样的,用户绝对是不能忍受的。这也就引出了本章节要讲解的内容:将session数据 持久化存储。
首先我们讲解如何把session存储到mongodb数据库当中:
在使用mongodb存储时首先要加载一个模块:connect-mongo
安装命令:npm install connect-mongo
使用代码:
var session = require('express-session'); var MongoStore = require('connect-mongo/es5')(session);mongoose.connect('mongodb://127.0.0.1:27017/hubwiz'); //连接数据库 mongoose.connection.on('open', function () {console.log('-----------数据库连接成功!------------'); });app.use(session({secret: "what do you want to do?", //secret的值建议使用128个随机字符串cookie: {maxAge: 60 * 1000 * 60 * 24 * 14}, //过期时间resave: true, // 即使 session 没有被修改,也保存 session 值,默认为 truesaveUninitialized: true,store: new MongoStore({mongooseConnection: mongoose.connection //使用已有的数据库连接}) }));app.listen(80);
依赖模块及参数
Redis是一个非常适合用于Session管理的数据库。第一,它的结构简单,key-value的形式非常符合SessionID-UserID的存储;第二,读写速度非常快;第三,自身支持数据自动过期和清除;第四,语法、部署非常简单。基于以上原因,很多Session管理都是基于Redis实现的。所以我们这个示例将用redis管理session。
Express已经将Session管理的整个实现过程简化到仅仅几行代码的配置的地步了,你完全不用理解整个session产生、存储、返回、过期、再颁发的结构,使用Express和Redis实现Session管理,只要两个中间件就足够了:
- express-session
- connect-redis
参数
- client 你可以复用现有的redis客户端对象, 由 redis.createClient() 创建
可选参数
- ttl Redis session TTL 过期时间 (秒)
- disableTTL 禁用设置的 TTL
- db 使用第几个数据库
- pass Redis数据库的密码
- prefix 数据表前辍即schema, 默认为 "sess:"
- host Redis服务器名
- port Redis服务器端口
- socket Redis服务器的unix_socket
简单应用
req在经过session中间件的时候就会自动完成session的有效性验证、延期/重新颁发、以及对session中数据的获取了。
使用示例:
var express = require('express'); var session = require('express-session'); var RedisStore = require('connect-redis')(session);var app = express(); var options = {"host": "127.0.0.1","port": "6379","ttl": 60 * 60 * 24 * 30, //session的有效期为30天(秒) };// 此时req对象还没有session这个属性 app.use(session({store: new RedisStore(options),secret: 'express is powerful' }));app.listen(80);
页面设计
express为session应用提供了简单的实现方式,为了方便理解,我们创建一个简单的登录系统。
首先我们来设计简单页面:
- index - 主页,用来展示登录表单
home - 用户页,登录成功展示的页面 index.ejs:
<form action="/sign" method="post"><fieldset><legend>Please sign in</legend><p>User: <input type="text" name="user"/></p><p>Pass: <input type="text" name="password"/></p><button>Submit</button></fieldset> </form>
sign.ejs
<!doctype html> <html> <head><title>session练习项目-</title> </head> <body><!--登录成功展示的内容--><p>welecome <strong> <%=session.name%> </strong>, 欢迎你再次登录<a href="/out"></a></p> </body> </html>
我们创建一个user.json的文件,把用户凭证信息存放到当中:
{"hubwiz":{"password": "0903","name": "汇智网"} }
hubwiz为登录用户名,password为登录密码,name为用户昵称。
然后通过require载入express和user文件:
var express = require('express'),user = require('./user');
接着我们加上bodyParser和session中间件,由于session中间件需要操作cookie,所以在它之前要先引入cookieParser模块。如下:
var cookieParser = require('cookie-parser'),bodyParser = require('body-parser'),session = require('express-session');app.use(session({secret: 'hubwizApp', //为了安全性的考虑设置secret属性cookie: {maxAge: 60 * 1000 * 30}, //设置过期时间resave: true, // 即使 session 没有被修改,也保存 session 值,默认为 truesaveUninitialized: false, // }));
检查是否登录
接下来,我们首先检查用户是否已经登录。如果没有登录则展示index页面
var app = express();app.set('views', path.join(__dirname, 'views')); app.set('view engine', 'ejs'); app.use(bodyParser.json()); app.use(bodyParser.urlencoded({extended: true})); app.use(cookieParser());app.get('/', function (req, res) {if (req.session.sign) {//检查用户是否已经登录,如果已登录展现的页面console.log(req.session);//打印session的值res.render('sign', {session:req.session});} else {//否则展示index页面res.render('index', {title: 'index'});} });
登录验证
登录路由检查登录表单的信息是否与用户凭证匹配,匹配则认为登录成功,否则失败:
//登录表单处理 app.post('/sign', function (req, res) {//登录的数据和user.json中的数据进行对比if (req.body.password != user[req.body.user].password || !user[req.body.user]) {res.end('sign failure');} else {req.session.sign = true;req.session.name = user[req.body.user].name;res.send('welecome <strong>' + req.session.name + '</strong>,<a href="/out">登出</a>');} });
截止到现在我们就把一个简单的session登录完成了。
注销session
剩下的工作就是注销操作了,非常简单,只需要在req.session 上调用destroy() 方法来清空session 就可以了:
app.get('/out', function(req, res){req.session.destroy();res.redirect('/'); })
转载于:https://my.oschina.net/fymoon/blog/760961
node-cookie- session相关推荐
- node --- [express] cookie/session 机制与 中间件的使用(路由守卫)
说明 源代码 记忆.遗忘回顾 使用 cookie/session 机制,让 客户端/服务器 的访问变得有状态 cookie 与 session 由于 HTTP 协议的无状态性,当一次连接断开后. 服务 ...
- js获取session_学习后端鉴权系列: 基于Cookie, Session认证
说起鉴权大家应该都很熟悉, 不过作为前端开发来讲, 鉴权的流程大头都在后端小哥那边, 但是作为一个有志气的开发者肯定要好好学习整个鉴权流程以及方案, 不然怎么跟后端合作. 常见的鉴权方案 基于Cook ...
- Node.js session 存储的几种方法
2019独角兽企业重金招聘Python工程师标准>>> Since the accepted answer is only connecting to remote hosts, i ...
- 彻底理解cookie,session,localStorage(附代码)
2019独角兽企业重金招聘Python工程师标准>>> 1. cookie 1.1 什么是cookie cookie 是存储于访问者的计算机中的变量.每当同一台计算机通过浏览器请求某 ...
- 2、cookie session token详解
cookie session token详解 转自:http://www.cnblogs.com/moyand/ 发展史 1.很久很久以前,Web 基本上就是文档的浏览而已, 既然是浏览,作为服务器, ...
- 基于requests模块的cookie,session和线程池爬取
基于requests模块的cookie,session和线程池爬取 有些时候,我们在使用爬虫程序去爬取一些用户相关信息的数据(爬取张三"人人网"个人主页数据)时,如果使用之前req ...
- .net session 有效时间_Python中requests模拟登录的三种方式(携带cookie/session进行请求网站)...
这篇文章主要介绍了python中requests模拟登录的三种方式(携带cookie/session进行请求网站),文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋 ...
- C# 系统应用之Cookie\Session基础知识及php读取Cookie\Session
本文主要是毕业设计"个人电脑使用记录清除软件"系列系统应用文章中关于Cookie方面的知识,主要从介绍Cookie的基础知识和PHP关于Cookie\Session两个会话管理机制 ...
- Cookie ,Session
会话技术 从打开一个浏览器访问某个站点,到关闭这个浏览器的整个过程,成为一次会话.会话技术就是记录这次会话中客户端态的状与数据的. 会话技术分为Cookie和Session: Cookie:数据存储在 ...
- 会话Cookie及session的关系(Cookie Session)
会话Cookie及session的关系(Cookie & Session) 在通常的使用中,我们只知道session信息是存放在服务器端,而cookie是存放在客户端.但服务器如何使用sess ...
最新文章
- 过年了,少喝点酒,多喝点茶—绿茶不仅仅是你想的那么简单
- 网络名称空间 实例研究 veth处于不同网络的路由问题
- ssdp协议_Cotopaxi:使用指定IoT网络协议对IoT设备进行安全测试
- 补习系列(20)-大话 WebSocket 与 尬聊的实现
- 美团关联公司公开“无人车及无人配送系统”相关专利
- 网课时代,在线教育的新机遇在哪?
- mysql update 批量修改数据_MySQL 中实现数据的批量修改
- CF1151FSonya and Informatics
- 燃料电池仿真模型燃料电池仿真模型,本模型基于Cruise软件和 Simulink软件共同搭建完成,并基于实际项目搭建,本资料包包含所有源文件
- 《the django book》part2 django的安装使用
- python提取图片中的数字_用Python-OpenCV从车牌图像中提取数字和字母
- 《大慈恩寺三藏法师传》简介
- 面向对象的三大特征:封装、继承和多态的简单概述
- VSCode这13款插件也太好用了
- Lucene.Net 实现搜索功能
- 某奏云资源网址打不开的N种处理方法(亲测好用)
- CENTOS上的网络安全工具(七)MYSQL也不能少
- 新消费品牌如何发力KOL营销
- OpenStack Train Magnum部署Kubernetes(2)--使用OpenStack界面部署虚拟机
- 最靠谱的iPhone 5概念机
热门文章
- 用VAE(variational autoencoder)做sentence embedding/representation或者其他任何结构数据的热presentation...
- 几种不同程序语言的HMM版本
- Ubuntu U盘启动出现“Failed to load ldlinux.c32”解决
- Linux系统发布ASP.NET项目
- 新买阿里云linux服务器如何设置账号密码xshell远程登陆
- DMA与cache一致性的问题
- 【网络流24题】分配问题 最小最大费用最大流
- 【转】Java多线程面试问题集锦
- 《程序员自我修养》读书笔记 第三章 目标文件里面有什么
- 并发数 = QPS*平均响应时间(转)