Express中的身份认证

不同开发模式下的身份认证

• 服务端渲染和前后端分离这两种开发模式，有着不同的身份认证方案：
• 服务端渲染推荐使用Session认证机制
• 前后端分离推荐使用JWT认证机制

HTTP协议的无状态性

• 了解HTTP协议的无状态性是进一步学习Session认证机制的必要前提
• HTTP协议的无状态性，指的是客户端每次的HTTP请求都是独立的，连续多个请求之间没有直接的关系，服务器不会主动保留每次HTTP请求的状态

如何突破HTTP无状态的限制

• 通过cookie来认证身份

什么是Cookie

• cookie是存储在用户浏览器中的一段不超过4kb的字符串，它由一个名称，一个值和其它几个用于控制Cookie有效期、安全性、使用范围的可选属性组成。
• 不同域名下的Cookie各自独立，每当客户端发起请求时，会自动把当前域名下所有未过期的Cookie一同发送到服务器
  Cookie的几大特征：
• 自动发送
• 域名独立
• 过期时限
• 4kb限制

Cookie在身份认证中的作用

• 客户端第一次请求服务器的时候，服务器通过响应头的形式，向客户端发送一个身份认证的 Cookie，客户端会自动
  将 Cookie 保存在浏览器中。
• 随后，当客户端浏览器每次请求服务器的时候，浏览器会自动将身份认证相关的 Cookie，通过请求头的形式发送给
  服务器，服务器即可验明客户端的身份。

由于 Cookie 是存储在浏览器中的，而且浏览器也提供了读写 Cookie 的 API，因此 Cookie 很容易被伪造，不具有安全
性。因此不建议服务器将重要的隐私数据，通过 Cookie 的形式发送给浏览器。

注意：千万不要使用 Cookie 存储重要且隐私的数据！比如用户的身份信息、密码等。

session工作原理

Express中使用session认证

• 安装：npm install express-session

express-session中间件安装成功后，需要通过app.use()来注册session中间件

// 导入session中间件
var session = require('express-session')

// 配置session中间件
app.use(session({
	secret: 'keyboard cat',   // secret属性的值可以为任意字符串
	resave: false, //固定写法
	saveUninitialized: true  // 固定写法
}))

向session中存储数据

• 当express-session中间件配置成功后，即可通过req.session来访问和使用session对象，从而存储用户的关键信息

app.post('/api/login', (req, res)=>{
	// 判断用户提交的登录信息是否正确
	if(req.body.username !== 'admin' || req.body.password !== '000000') {
		return res.send({ status:1, msg:'登陆失败' })
	}
	req.session.user = req.body   // 将用户的信息，存储到session中
	req.session.isLogin = req.body   // 将用户的登陆状态，存储到session中
	res.send({status: 0, msg: '登录成功'}})
})

从session中取数据

• 可以直接从req.session对象上获取之前存储的数据

// 获取用户姓名的接口
app.get('/api/username', (req, res)=>{
	// 判断用户是否登录
	if(!req.session.isLogin){
		return res.send({status:1, msg:'fail})
	}
	res.send({status:0, msg:'success', username: req.session.user.username})
})

清空session

app.post('/api/logout', (req, res)=>{
	// 清空当前客户端对应的session信息
	req.session.destroy()
	res.send({status:0, msg：'退出登录成功'})
})

JWT认证机制

• session认证机制需要配合cookie才能实现，由于Cookie默认不支持跨域访问，所以，当涉及到前端跨域请求后端接口的时候，需要做很多额外的配置，才能实现跨域session认证。

• 当前端请求后端接口不存在跨域的问题，推荐使用session身份认证机制

• 当前端需要跨域请求后端接口的时候，不推荐使用session身份认证机制，推荐使用JWT认证机制

什么是JWT

JWT–> JSON WEB TOKEN 是目前最流行的跨域认证解决方案

用户的信息通过Token字符串的形式，保存在客户端浏览器中。服务器通过还原Token字符串的形式来认证用户的身份

JWT的组成部分

• JWT通常由三部分组成，分别是Header（头部）、Payload（有效荷载）、Signature（签名）
• 三者之间用.分隔
• Payload部分是真正的用户信息，它是用户信息经过加密之后生成的字符串
• Header和Signature 是安全性相关的部分，只是为了保证token的安全性

JWT的使用方式

• 客户端收到服务器返回的JWT之后，通常会将他们存储在localStorage和sessionStorage中
• 此后，客户端每次于服务器通信，都要带上这个JWT的字符串，从而进行身份认证。推荐的做法是把JWT放在HTTP请求头的Authorization字段中，格式如下

Authorization: Bearer <token>

• 安装JWT相关的包
  jsonwebtoken用于生成JWT字符串
  express-jwt用于将JWT字符串解析还原成JSON对象

• 导入JWT相关的包

// 导入用于生成JWT字符串的包
const jwt = require('jsonwebtoken')
// 导入用于将客户端发送过来的JWT字符串，解析还原成JSON对象的包
const expressJWT = require('express-jwt')

• 定义secret密钥
  为了保证JWT字符串的安全性，防止JWT字符串在网络传输过程中被人破解，我们需要专门定义一个用于加密和解密的secret密钥
  当生成JWT字符串额度时候，需要使用secret密钥对用户的信息进行加密，最终得到加密好的JWT字符串
  当把JWT字符串解析还原成JSON对象的时候，需要使用secret密钥进行解密

const secretKey = 'hahahahah'

• 在登录后生成JWT字符串

app.post('/api/login', (req, res) => {
  if (req.body.username !== 'admin' || req.body.password !== '000000') {
    return res.send({ status: 1, msg: '登陆失败' })
  }
  // 加密
  const tokenStr = jwt.sign({ username: req.body.username }, secretKey, { expiresIn: '60s' })
  console.log('login')
  res.send({ status: 0, msg: 'success', token: tokenStr })
})

• 将JWT字符串还原成JSON对象
  客户端每次在访问那些有权限接口的时候，都需要主动通过请求头中的 Authorization 字段，将 Token 字符串发
  送到服务器进行身份认证。
  此时，服务器可以通过 express-jwt 这个中间件，自动将客户端发送过来的 Token 解析还原成 JSON 对象：

// expressJWT({ secret:secretKey }) 就是用来解析Token的中间件
// .unless({ path: [/^\/api\//]})用来指定哪些接口不需要访问权限
app.use(expressJWT({ secret: secretKey}).unless({ path: [/^\/api\//] }))

• 捕获解析 JWT 失败后产生的错误
  当使用 express-jwt 解析 Token 字符串时，如果客户端发送过来的 Token 字符串过期或不合法，会产生一个解析失败
  的错误，影响项目的正常运行。我们可以通过 Express 的错误中间件，捕获这个错误并进行相关的处理，示例代码如下：

app.use((err, req, res, next)=>{
	// token解析失败导致的错误
	if(err.name === 'UnauthorizedError'){
		return res.send({ status: 401, message: '无效的token' })
	}
	// 其它原因导致的错误
	res.send({ status: 500, message: '位置错误' })
})