node.js的cookie-parser cookie-session express-session 的使用方法

cookie-parser:

1、cookie空间非常小，要省着点用，该签名的签名，不该签名的尽量不用签名
安全性非常差
签名的作用和加密不一样

1. cookie的创建

express直接提供了api,只需要在需要使用的地方调用如下api即可

App function(req, res, next){  
    res.cookie(name, value [, options]);
}

express就会将其填入Response Header中的Set-Cookie，达到在浏览器中设置cookie的作用。
name: 类型为String
value: 类型为String和Object，如果是Object会在cookie.serialize()之前自动调用JSON.stringify对其进行处理
Option: 类型为对象，可使用的属性如下

domain：cookie在什么域名下有效，类型为String,。默认为网站域名
expires: cookie过期时间，类型为Date。如果没有设置或者设置为0，那么该cookie只在这个这个session有效，即关闭浏览器后，这个cookie会被浏览器删除。
httpOnly: 只能被web server访问，类型Boolean。
maxAge: 实现expires的功能，设置cookie过期的时间，类型为String，指明从现在开始，多少毫秒以后，cookie到期。
path: cookie在什么路径下有效，默认为’/’，类型为String
secure：只能被HTTPS使用，类型Boolean，默认为false
signed:使用签名，类型Boolean，默认为false。express会使用req.secret来完成签名，需要cookie-parser配合使用

用法如下：

res.cookie('name', 'koby', { domain: '.example.com', path: '/admin', secure: true });
//cookie的有效期为900000ms
res.cookie('rememberme', '1', { expires: new Date(Date.now() + 900000), httpOnly: true });
//cookie的有效期为900000ms
res.cookie('rememberme', '1', { maxAge: 900000, httpOnly: true });

//cookie的value为对象
res.cookie('cart', { items: [1,2,3] });
res.cookie('cart', { items: [1,2,3] }, { maxAge: 900000 });

res.cookie('name', 'tobi', { signed: true });

2.cookie的删除
express直接提供了api删除浏览器中的cookie,只需要在需要使用的地方调用如下api即可

function(req, res, next){
    ...
    res.clearCookie(name [, options]);
    ...
}

3.利用cookie-parser读取cookie

npm install cookie-parser --save
使用方式：

var express = require('express');
var cookieParser = require('cookie-parser');
var app = express();
//不使用签名
app.use(cookiePareser());

//若需要使用签名，需要指定一个secret,字符串,否者会报错
app.use(cookiePareser('Simon'));

app.get('/',(req,res,next)=>{
	res.cookie('cart', { items: [1,2,3] });
	console.log(req.cookies);
})

cookie-session:

session和基于cookie的。 存在于服务器，相对cookie安全，但session也存在session劫持的风险， 所以需要一串很长很多的秘钥数组来增加破解的难度。同时设置manAge过期时间， 减少留给坏人破解时间。

  const express = require('express');
  const cookieParser = require('cookie-parser');
  const cookieSession = require('cookie-session');
  var app = express();
  app.use(cookieParser());
  
 //cookieSession 必须放在cookieParser后面
 app.use(cookieSession({
     //session的秘钥，防止session劫持。 这个秘钥会被循环使用，秘钥越长，数量越多，破解难度越高。
 keys: ['aaa', 'bbb', 'ccc'],
 //session过期时间，不易太长。php默认20分钟
 maxAge: 60*60,
 //可以改变浏览器cookie的名字
 name: 'session'
}));
app.use('/', function (req, res) { 
//假设使用count记录用户访问的次数
if(req.session['count'] == null) {
    req.session['count'] = 1;
}else{  
   req.session['count']++;
}
console.log(req.session['count'])//通过键值对的方式可以获取到session
res.send('ok')
})
app.listen(8080)

express-session：

express-session 是基于express框专门用于处理session的中间件。session的认证机制离不开cookie，需要同时使用cookieParser 中间件。

var express = require('express');
var session = require('express-session');
var cookieParser = require('cookie-parser');
var app = express();
app.use(cookieParser());
app.use(session({
  secret: '12345',
  name: 'testapp',  //这里的name值得是cookie的name，默认cookie的name是：connect.sid
  cookie: {maxAge: 80000 }, //设置maxAge是80000ms，即80s后session和相应的cookie失效过期
  resave: false,
  saveUninitialized: true,

}));

app.get('/awesome', function(req, res){
  if(req.session.lastPage) {
    console.log('Last page was: ' + req.session.lastPage + "."); 
  } 
  req.session.lastPage = '/awesome'; 
  //每一次访问时，session对象的lastPage会自动的保存或更新内存中的session中去。
  res.send("You're Awesome. And the session expired time is: " + req.session.cookie.maxAge);
});

 
app.get('/radical', function(req, res){
  if (req.session.lastPage) {
    console.log('Last page was: ' + req.session.lastPage + "."); 
  }
  req.session.lastPage = '/radical';
  res.send('What a radical visit! And the session expired time is: ' + 				     req.session.cookie.maxAge);
});

app.get('/tubular', function(req, res){
  if (req.session.lastPage){
    console.log("Last page was: " + req.session.lastPage + "."); 
  }
  req.session.lastPage = '/tubular';
  res.send('Are you a suffer? And the session expired time is: ' + req.session.cookie.maxAge);
});

app.listen(5000);

一旦我们将express-session中间件用use挂载后，我们可以很方便的通过req参数来存储和访问session对象的数据。req.session是一个JSON格式的JavaScript对象，我们可以在使用的过程中随意的增加成员，这些成员会自动的被保存到option参数指定的地方，默认即为内存中去。