11、Node.js---会话控制

目录

什么是会话控制

cookie  

cookie 是什么

cookie 的特点  

cookie 的运行流程  

 浏览器操作 cookie

express框架中设置cookie

session

session 是什么

session 的作用

session 运行流程

 session 和 cookie 的区别

完善记账本功能 

CSRF跨站请求伪造

公益404

Token

token 是什么

token 的作用

token 的工作流程

token 的特点

JWT

记账本完善

 本地域名

操作流程

 原理


什么是会话控制

所谓会话控制就是 对会话进行控制
HTTP 是一种无状态的协议,它没有办法区分多次的请求是否来自于同一个客户端, 无法区分用户
而产品中又大量存在的这样的需求,所以我们需要通过 会话控制 来解决该问题
常见的会话控制技术有三种:
  • cookie
  • session
  • token

cookie  

cookie 是什么

cookie HTTP 服务器发送到用户浏览器并保存在本地的一小块数据
cookie 是保存在浏览器端的一小块数据
cookie 是按照域名划分保存的
简单示例:

cookie 的特点  

浏览器向服务器发送请求时,会自动将 当前域名下 可用的 cookie 设置在请求头中,然后传递给服务器,这个请求头的名字也叫 cookie ,所以将 cookie 理解为一个 HTTP 的请求头也是可以的

cookie 的运行流程  

填写账号和密码校验身份,校验通过后下发 cookie

有了 cookie 之后,后续向服务器发送请求时,就会自动携带 cookie

 浏览器操作 cookie

浏览器操作 cookie 的操作,使用相对较少,大家了解即可
1. 禁用所有 cookie
2. 删除 cookie
3. 查看 cookie

不同浏览器之间cookie不共享

express框架中设置cookie

 1、初始化

npm init

2、安装express

npm i express

代码: 

express 中可以使用 cookie - parser 进行处理(Parse HTTP request cookies
//导入express
const express=require('express');
const cookieParser = require('cookie-parser')

//创建应用对象
const app = express();
app.use(cookieParser())

//创建路由规则
app.get('/set-cookie',(req,res)=>{
    // res.cookie('name','zhangsan'); //此设置cookie会在浏览器关闭时,销毁
    res.cookie('name','lisi',{maxAge:60*1000}) //max最大  age年龄  (最大的保存生命周期)例子:七天免登陆
    res.cookie('theme','blue');
    res.send('home');
});

//删除cookie
app.get('/remove-cookie',(req,res)=>{
    //调用方法
    res.clearCookie('name');
    res.send('删除成功');
});

//获取cookie
app.get('/get-cookie',(req,res)=>{
    //获取cookie
    console.log(req.cookies);
    res.send(`欢迎您 ${req.cookies.name}`)
})
//启动服务
app.listen(3000);

课程代码:

const express =require('express');
//1. 安装 cookie-parser npm i cookie-parser
//2. 引入 cookieParser 包
const cookieParser = require('cookie-parser');
const app = express();
//3. 设置 cookieParser 中间件
app.use(cookieParser());
//4-1 设置 cookie
app.get('/set-cookie', (request, response) => {
// 不带时效性
    response.cookie('username','wangwu');
// 带时效性
    response.cookie('email','23123456@qq.com', {maxAge: 5*60*1000 });
//响应
    response.send('Cookie的设置');
});
//4-2 读取 cookie
app.get('/get-cookie', (request, response) => {
//读取 cookie
    console.log(request.cookies);
//响应体
    response.send('Cookie的读取');
});
//4-3 删除cookie
app.get('/delete-cookie', (request, response) => {
//删除
    response.clearCookie('username');
//响应
    response.send('cookie 的清除');
});
//4. 启动服务
app.listen(3000, () => {
    console.log('服务已经启动....');
});
不同浏览器中的 cookie 是相互独立的,不共享

session

session 是什么

session 是保存在 服务器端的一块儿数据 ,保存当前访问用户的相关信息

session 的作用

实现会话控制,可以识别用户的身份,快速获取当前用户的相关信息

session 运行流程

填写账号和密码校验身份,校验通过后创建 session 信息 ,然后将 session_id 的值通过响应头返回给浏览器
有了 cookie ,下次发送请求时会自动携带 cookie ,服务器通过 cookie 中的 session_id 的值确定用
户的身份

 express 中可以使用 express-session session 进行操作

1、安装包

npm i express-session connect-mongo 

 2、创建session

 //登录
    app.get('/login',(req,res)=>{
        //username=admin&password=admin
        if(req.query.username==='admin' && req.query.password==='admin'){
            //设置session信息
            req.session.username = 'admin';
            req.session.uid = '258aefccc';
            //成功响应
            res.send('登陆成功');
        }else{
            res.send('登陆失败');
        }
    })

 3、读取session

  //session读取
    app.get('/cart',(req,res)=>{
        //检测session是否存在用户数据
        if(req.session.username){
            res.send(`购物车页面,欢迎您 ${req.session.username}`)
        }else{
            res.send('您还没登录');
        }
    })

 4、session的销毁

 //session的销毁
    app.get('/logout',(req,res)=>{
        req.session.destroy(()=>{
            res.send('退出成功');
        })
    })

数据库的session变为空

课程代码:

const express = require('express');
//1. 安装包 npm i express-session connect-mongo
//2. 引入 express-session connect-mongo
const session = require("express-session");
const MongoStore = require('connect-mongo');
const app = express();
//3. 设置 session 的中间件
app.use(session({
    name: 'sid', //设置cookie的name,默认值是:connect.sid
    secret: 'atguigu', //参与加密的字符串(又称签名)
    saveUninitialized: false, //是否为每次请求都设置一个cookie用来存储session的id
    resave: true, //是否在每次请求时重新保存session
    store: MongoStore.create({
    mongoUrl: 'mongodb://127.0.0.1:27017/project' //数据库的连接配置
}),
cookie: {
    httpOnly: true, // 开启后前端无法通过 JS 操作
    maxAge: 1000 * 300 // 这一条 是控制 sessionID 的过期时间的!!!
},
}))
//创建 session
app.get('/login', (req, res) => {
//设置session
    req.session.username = 'zhangsan';
    req.session.email = 'zhangsan@qq.com'
    res.send('登录成功');
})
//获取 session
app.get('/home', (req, res) => {
    console.log('session的信息');
    console.log(req.session.username);
    if (req.session.username) {
    res.send(`你好 ${req.session.username}`);
}else{
    res.send('登录 注册');
}
})
//销毁 session
app.get('/logout', (req, res) => {
//销毁session
// res.send('设置session');
    req.session.destroy(() => {
    res.send('成功退出');
});
});
app.listen(3000, () => {
    console.log('服务已经启动, 端口 ' + 3000 + ' 监听中...');
});

 session cookie 的区别

cookie session 的区别主要有如下几点:
1. 存在的位置
  •         cookie:浏览器端
  •         session:服务端
2. 安全性
  •         cookie 是以明文的方式存放在客户端的,安全性相对较低
  •         session 存放于服务器中,所以安全性 相对 较好
3. 网络传输量
  •         cookie 设置内容过多会增大报文体积, 会影响传输效率
  •         session 数据存储在服务器,只是通过 cookie 传递 id,所以不影响传输效率
4. 存储限制
  •         浏览器限制单个 cookie 保存的数据不能超过 4K ,且单个域名下的存储数量也有限制
  •         session 数据存储在服务器中,所以没有这些限制

=========================================================================

完善记账本功能 

参考项目:accounts

 

========================================================================

CSRF跨站请求伪造

跨域:ip地址和端口号有一个不一致就叫跨域。

B网站向A网站请求的时候还会携带上A网站的cookies,强制使A网站的用户下线

攻击页面代码如下:

<!DOCTYPE html>
<html lang="en">
<head>
  <meta charset="UTF-8">
  <meta http-equiv="X-UA-Compatible" content="IE=edge">
  <meta name="viewport" content="width=device-width, initial-scale=1.0">
  <title>CSRF 演示</title>
  <link rel="stylesheet" href="http://127.0.0.1:3000/logout">
</head>
<body>
</body>
</html>

解决方法:用post请求(form表单)

退出登录这里能用form表单,post请求,就不会强制退出

 

因为link、a标签等发送的是get请求。

公益404

详情

Token

token 是什么

token 是服务端生成并返回给 HTTP 客户端的一串加密字符串, token 中保存着 用户信息

token 的作用

实现会话控制,可以识别用户的身份,主要用于移动端 APP(安卓app、ios app、小程序)

token 的工作流程

后续发送请求时,需要手动token 添加在请求报文中,一般是放在请求头中

cookies是自动

token 的特点

1、服务端压力更小
        数据存储在客户端
2、相对更安全
        数据加密
        可以避免 CSRF (跨站请求伪造)
3、扩展性更强
        服务间可以共享
        增加服务节点更简单

JWT

JWT (JSON Web Token )是目前最流行的跨域认证解决方案,可用于基于 token 的身份验证
JWT 使 token 的生成与校验更规范
安装
 npm init -y

npm i jsonwebtoken

实验代码

//导入 jwt
const jwt=require('jsonwebtoken');


//创建(生成)token
// let token=jwt.sign(用户数据,加密字符串,配置对象);

 let token = jwt.sign({
     username:'zhangsan'
 },'aiguigu',{
     expiresIn:120, //单位是秒
 })

 console.log(token);



//校验token

得到token

 注意token设置了过期时间,过期了就不能用了,校验失败。(可以设置7天免登录)

//导入 jwt
const jwt=require('jsonwebtoken');


//创建(生成)token
// let token=jwt.sign(用户数据,加密字符串,配置对象);

// let token = jwt.sign({
//     username:'zhangsan'
// },'aiguigu',{
//     expiresIn:120, //单位是秒
// })

// console.log(token);

let t='eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6InpoYW5nc2FuIiwiaWF0IjoxNjgzNDQ5NTExLCJleHAiOjE2ODM0NDk2MzF9.dCWMZ4VHY8vvOu6kKkGN_Z7E8CNeaxDcWpOTwZ3zz24';


//校验token
jwt.verify(t,'aiguigu',(err,data)=>{
    if(err){
        console.log('校验失败');
        return
    }
    console.log(data);
})

 

 扩展阅读:https://www.ruanyifeng.com/blog/2018/07/json_web_token-tutorial.html

=========================================================================

记账本完善

项目accounts-token

========================================================================

 本地域名

所谓本地域名就是 只能在本机使用的域名 ,一般在开发阶段使用

操作流程

编辑文件 C:\Windows\System32\drivers\etc\hosts

127.0.0.1       www.baidu.com

 如果修改失败, 可以修改该文件的权限

 原理

在地址栏输入 域名 之后,浏览器会先进行 DNS (Domain Name System) 查询,获取该域名对应的 IP 地 址
请求会发送到 DNS 服务器,可以 根据域名返回 IP 地址
可以通过 ipconfig /all 查看本机的 DNS 服务器
hosts 文件也可以设置域名与 IP 的映射关系,在发送请求前,可以通过该文件获取域名的 IP 地址

 

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值