第四章:数据库和身份认证
4.1:在项目中操作MySQL
-
在项目中操作数据库的步骤
- 安装操作MySQL数据库的第三方模块(mysql)。
- 通过mysql模块连接到MySQL数据库。
- 通过mysql模块执行sql语句。
-
安装与配置mysql模块
-
安装mysql模块
mysql模块是托管于npm上的第三方模块。它提供了在Node.js项目中连接和操作MySQL数据库的能力。想要在项目中使用它,需要先运行如下命令,将mysql安装为项目的依赖包
npm install mysql
-
配置mysql模块
在mysql模块操作mysql数据库之前,必须先对mysql模块进行必要的配置,主要的配置步骤如下:
const mysql = require('mysql'); // 导入mysql模块 const db = mysql.createPool({ // 连接数据库 host: '127.0.0.1', // IP地址 user: 'root', // 用户名 password: 'root', // 密码 database: 'node', // 要连接的数据库 });
-
测试mysql模块能否正常工作
调用
db.query()
函数,指定要指定的SQL语句,通过回调函数拿到执行的结果db.query('select 1', (err, results) => { if (err) return console.log(err.message); // 只要能打印出 [ RowDataPacket { '1': 1 } ] 的结果,就证明数据库连接正常 console.log(results); })
-
-
使用mysql模块操作MySQL数据库
-
查询数据:查询users表中所有的数据
const sqlStr1 = 'select * from users'; db.query(sqlStr1, (err, results) => { if (err) return console.log(err.message); console.log(results); })
-
插入数据:向users中新增数据
const user1 = { username: 'Spider-Man', password: 'pcc123' }; const sqlStr2 = 'insert into users(username, password) values(?, ?)'; db.query(sqlStr2, [user1.username, user1.password], (err, results) => { if (err) return console.log(err.message); if (results.affectedRows === 1) { console.log('插入数据成功'); } })
-
插入数据的便捷方式:向表中新增数据时,如果数据对象的每个属性和数据表的字段一一对应,则可以通过如下方式快速插入数据
const user2 = { username: 'Spider-Man2', password: 'pcc4321' }; const sqlStr3 = 'insert into users set ?'; db.query(sqlStr2, user1, (err, results) => { if (err) return console.log(err.message); if (results.affectedRows === 1) { console.log('插入数据成功'); } })
-
更新数据
const user4 = { id: 6, username: 'aaaa', password: '0145' }; const sqlStr5 = 'update users set ? where id=?'; db.query(sqlStr5, [user4, user4.id], (err, results) => { if (err) return console.log(err.message); if (results.affectedRows === 1) { console.log('更新数据成功'); } })
-
删除数据
const sqlStr6 = 'delete from users where id=?'; db.query(sqlStr6, 6, (err, results) => { if (err) return console.log(err.message); if (results.affectedRows === 1) { console.log('数据删除成功'); } })
-
4.2:前后端的身份认证
-
Web开发模式
目前主流的Web开发模式有两种,分别是:
-
基于服务端渲染的传统Web开发模式
服务端渲染的概念:服务器发送给客户端的HTML页面,是在服务器通过字符串的拼接,动态生成的。因此,客户端不需要使用不需要使用Ajax这样的技术额外请求页面的数据。
优点:
- 前端耗时少:因为服务器端负责动态生成HTML页面,浏览器只需要直接渲染页面即可。尤其是移动端,更省电。
- 由于SEO:因为服务器端响应的是完整的HTML页面内容,所以爬虫更容易获取得信息,更有利于SEO。
缺点:
- 占用服务器端资源。即服务器端完成HTML页面内容的拼接,如果请求较多,会对服务器造成一定的访问压力。
- 不利于前后端分离,开发效率低:使用服务器端渲染,则无法进行分工合作,尤其对于前端复杂度高的项目,不利于项目高效开发。
-
基于前后端分离的新型Web开发模式
前后端分离的概念:前后端分离的开发模式,依赖于Ajax技术的广泛应用。简而言之,前后端分离的Web开发模式,就是后端只负责提供API接口,前端使用Ajax调用接口的开发模式。
优点:
-
开发体验好:前端专注于UI页面的开发,后端专注于api的开发,且前端有更多的选择性。
-
用户体验好:Ajax技术的广泛应用,极大的提高了用户的体验,可以轻松实现页面的局部刷新。
-
减轻了服务器端的渲染压力:因为页面最终是在用户的浏览器中生成的。
缺点:
- 不利于SEO:因为完整的HTML页面需要在客户端动态拼接完成,所以爬虫对无法爬取页面的有效信息。
解决方案:利用Vue、React等前端框架的SSR(server side render)技术能够很好的解决SEO问题。
-
-
-
身份认证
-
什么是身份认证
身份认证(Authentication)又称“身份验证”、“鉴权”,是指通过一定的手段,完成对用户的确认。
-
为什么需要身份认证
身份认证的目的,是为了确认当前所声称为某种身份的用户,确实是所声称的用户。
-
不同开发模式下的身份认证
对于服务器渲染和前后端分离这两种开发模式来说,分别有着不同的身份认证方案:
- 服务端渲染推荐使用
Session
认证机制 - 前后盾分离推荐使用
JWT
认证机制
- 服务端渲染推荐使用
-
-
Session认证机制
-
HTTP协议的无状态性
HTTP协议的无状态性,指的是客户端的每次HTTP请求都是独立的,连续多个请求之间没有直接的关系,服务器不会主动保留每次HTTP请求的状态。
-
如何突破HTTP无状态的限制
在Web开发中,突破HTTP无状态的限制叫做
Cookie
。 -
什么是Cookie
Cookie是存储在用户浏览器中的一段不超过4KB的字符串。它由一个名称、一个值和其他几个用与控制Cookie有效期、安全性、使用范围的可选属性组成。
不同域名下的Cookie各自独立,每当客户端发起请求时,会自动把当前域名下所有未过期的Cookie一同发送到服务器。
Cookie的几大特性:
- 自动发送
- 域名独立
- 过期时限
- 4KB限制
-
Cookie在身份认证中的作用
客户端第一次请求服务端的时候,服务器通过响应头的形式,向客户端发送一个身份证人的Cookie,客户端会自动将Cookie保存在浏览器中。
随后,当客户端浏览每次请求服务器的时候,浏览器会自动将身份认证相关的Cookie,通过请求头的形式发送给服务器,服务器可验明客户端的身份。
-
Cookie不具有安全性
由于Cookie是存储在浏览器中的,而且浏览器也提供了读写Cookie的API,因此Cookie很容易被伪造,不具有安全性。因此不建议服务器将重要的隐私数据,通过Cookie的形式发送给浏览器。
-
Session的工作原理
-
-
在Express中使用Session认证
-
安装
express-session
中间件:在Express项目中,只需要安装express-session
中间件,即可在项目中使用Session
认证:npm install express-session
-
配置
express-session
中间件express-session
中间件安装成功后,需要通过app.use()
来注册session中间件const session = require('express-session') app.use( session({ secret: 'xiaowang', // 可以为任意字符串 resave: false, saveUninitialized: true, }) )
-
向session中存数据
当express-session中间件配置成功后,即可通过
req.session
来访问和使用session对象,从而存储用户的关键信息。// 自定义属性存储 req.session.user = req.body req.session.islogin = true
-
从session中取数据
可以直接从
req.session
对象上获取之前存储的数据,实例代码如下:if (!req.session.islogin) { return res.send({ status: 1, msg: 'fail' }) } res.send({ status: 0, msg: 'success', username: req.session.user.username })
-
清空session
调用
req.session.destroy()
函数,即可清空服务器保存的session信息。req.session.destroy() res.send({ status: 0, msg: '退出登录成功' })
-
-
JWT认证机制
-
了解Session认证的局限性
Session认证机制需要配合Cookie才能实现。由于Cookie默认不支持跨域访问,所以,当涉及到前端跨域请求后端接口的时候,需要做很多额外的配置,才能实现跨域Session认证。
注意:
- 当前端请求后端接口不存在跨域问题的时候,推荐使用session身份认证机制。
- 当前端需要跨域请求后端接口的时候,不推荐使用session身份认证机制,推荐使用JWT认证机制。
-
什么是JWT
JWT(英文全称:JSON Web Token)是目前最流行的跨域认证解决方案。
-
JWT的工作原理
总结:用户的信息通过Token字符串的形式,保存在客户端浏览器中。服务器通过还原Token字符串的形式来认证用户的身份。
-
JWT的组成部分
JWT通常由三部分组成,分别是Header(头部)、Payload(有效荷载)、Signature(签名)。
三者之间使用英文的
.
分隔,格式如下:Header.Payload.Signature
-
JWT的三个部分各自代表的含义:JWT的三个组成部分,从前到后分别是
Header
、Payload
、Signature
Payload
部分才是真正的用户信息,它是用户信息经过加密之后生成的字符串。Header
和Signature
是安全性相关的部分,只是为了保证Token的安全性
-
JWT的使用方式
客户端收到服务器返回的JWT之后,通常会将它存储在
localStorage
或sessionStorage
中。此后:客户端每次与服务器通信,都要带上这个JWT的字符串,从而进行身份认证。推荐的做法是把JWT放在HTTP请求头的
Authorization
字段中:Authorization: Bearer <token>
-
-
在Express中使用JWT
-
安装JWT相关的包:运行如下命令,安装如下两个JWT相关的包
npm install jsonwebtoken express-jwt
jsonwebtoken
:用于生成JWT字符串express-jwt
:用于将JWT字符串解析成还原成JSON对象
-
导入JWT先相关的包:使用
require()
函数,分别导入JWT
相关的两个包const jwt = require('jsonwebtoken') const expressJWT = require('express-jwt')
-
定义
secret
密钥为了保证JWT字符串的安全性,防止JWT字符串在网络传输过程中被别人破解,我们需要专门定义一个用于加密和解密的
secret
密钥:- 当生成JWT字符串的时候,需要使用
secret
密钥对用户的信息加密,最终得到加密的JWT字符串。 - 当把JWT字符串解析还原成JSON对象的时候,需要使用
secret
密钥进行解密。
const secretKey = 'xiaowang No1 ^_^'
- 当生成JWT字符串的时候,需要使用
-
在登录成功后生成JWT字符串
调用
jsonwebtoken
包提供的sign()
方法,将用户的信息加密成JWT字符串,响应给客户端:app.post('/api/login', function (req, res) { const userinfo = req.body if (userinfo.username !== 'admin' || userinfo.password !== '000000') { return res.send({ status: 400, message: '登录失败!', }) } // 在登录成功之后,调用 jwt.sign() 方法生成 JWT 字符串。并通过 token 属性发送给客户端 const tokenStr = jwt.sign({ username: userinfo.username }, secretKey, { expiresIn: '30s' }) res.send({ status: 200, message: '登录成功!', token: tokenStr, }) })
-
将JWT字符串还原为JSON对象
客户端每次在访问那些有权限接口的时候,都需要主动通过请求头中的
Authorization
字段,将Token字符串发送到服务器进行身份认证。此时,服务器可以通过
express-jwt
这个中间件,自动将客户端发送过来的Token解析还原成JSON对象// unless方法是用于过滤api接口用的 app.use(expressJWT({ secret: secretKey }).unless({ path: [/^\/api\//] }))
-
使用req.userz获取用户信息
当
express-jwt
这个中间件配置成功后,即可在那些有权限的接口中,使用req.user
对象,来访问JWT字符串中解析出来的用户信息app.get('/admin/getinfo', function (req, res) { console.log(req.user) res.send({ status: 200, message: '获取用户信息成功!', data: req.user, }) })
-
捕获解析JWT失败后产生的错误
当使用
express-jwt
解析Token字符串时,如果客户端发送过来Token字符串过期或不合法,会产生一个解析失败的错误,影响项目的正常运行。我们可以通过Express
的错误中间件,捕获这个错误进行相关的处理。app.use((err, req, res, next) => { if (err.name === 'UnauthorizedError') { return res.send({ status: 401, message: '无效的token', }) } res.send({ status: 500, message: '未知的错误', }) })
-