Node.js使用jwt或session实现前后端身份认证

黑马程序员Node.js全套入门教程，nodejs最新教程含es6模块化+npm+express+webpack+promise等_Nodejs实战案例详解_哔哩哔哩_bilibili本套课程作为框架前置课，重点为学生铺垫 npm、包、模块化、身份认证、CORS 跨域等主要知识点，为学习后面的 Vue 课程夯实基础。同时，本课程涵盖了 MySQL 数据库、API 接口项目开发等后端内容，拓宽了学生的知识面，为前端学生构建了前后端完整的知识体系，助力学生更好地发展。https://www.bilibili.com/video/BV1a34y167AZ?p=76&spm_id_from=333.1007.top_right_bar_window_history.content.click八. 前后端身份认证

1. Web开发模式

（1）基于服务端渲染的传统Web开发模式：

• 服务器发送给客户端的HTML页面，是在服务器通过字符串的拼接动态生成的。因此，客户端不需要使用Ajax这样的技术额外请求页面的数据。
• 优点：前端耗时少、有利于SEO。
• 缺点：占用服务器端资源；不利于前后端分离，开发效率低。

（2）基于前后端分离的新兴Web开发模式：

• 后端只负责提供API接口，前端使用Ajax调用接口的开发模式。
• 优点：开发体验好、用户体验好、减轻了服务器端的渲染压力。
• 缺点：不利于SEO（解决方案：Vue、React提供的SSR技术）

2. 身份认证

通过一定的手段，完成对用户身份的确认。

• 身份认证的目的：确认当前声称为某种身份的用户，确实是该用户。
• 不同开发模式下的身份认证：
  • （1）服务器端渲染推荐用Session认证机制
  • （2）前后端分离推荐用JWT认证机制

3. Session认证机制

（1）Http协议的无状态性：

• 客户端的每次HTTP请求都是独立的，连续多个请求之间没有直接的关系，服务器不会主动保留每次HTTP请求的状态。
• 如何突破HTTP无状态的限制：Cookie

（2）Cokkie：

• Cookie是存储在用户浏览器中一段不超过4KB的字符串，由一个名称（Name）、一个值（Value）和其它几个用于控制Cookie有效期、安全性、使用范围的可选属性组成。
• 不同域名下的Cookie各自独立，每当客户端发起请求时，会自动把当前域名下所有未过期的Cookie一同发送到服务器。
• Cookie的特性：（1）自动发送（2）域名独立（3）过期时限（4）4KB限制
• Cookie在身份认证中的作用：
  • 客户端第一次请求服务器时，服务器通过响应头的形式，向客户端发送一个身份认证的Cookie，客户端会自动将Cookie保存在浏览器中。
  • 随后，当客户端浏览器每次请求服务器时，浏览器会自动将身份认证相关的Cookie通过请求头的形式发送给服务器，服务器即可验明客户端的身份。

• Cookie不具有安全性：
  • 由于Cookie存储在浏览器中，浏览器也提供了读写Cookie的API，因此Cookie很容易被伪造，不具有安全性。
  • 因此不建议服务器将重要的隐私数据通过Cookie形式发送给浏览器。

（3）Session：

• Session：主要存放在服务器端，相对安全。结合cookie使用，灵