nodejs cookie 和 session 标记中间件

超、凢脫俗 2022-11-25 10:23 179阅读 0赞

## 一、什么是Cookie？： ##

http是无状态协议， 简单的说， 当你浏览了一个页面， 然后转到同一个网站的另一个页面， 服务器无法认识到， 这是同一个浏览器在访问同一个网站  
但是， 为了用户体验， 我们确实需要让服务器能够记忆用户的一些信息。 cookie应运而生  
cookie是一个简单的想法： 当访问一个页面的时候，服务器在下行http报文中，命令浏览器存储一个字符串；浏览器再访问同一个域的时候，将把这个字符串携带到上行http请求中。  
第一次访问第一个服务器，不可能携带cookie。必须是服务器得到这次请求，在下次响应报头中，携带cookie信息，此后每一次浏览器往这个服务器发出的请求，都会携带这个cookie  
二、cookie的特点  
1.cookie 是不加密的，用户可以自由看到  
2.用户可以删除cookie或者禁用它  
3.cookie可以被篡改  
4.cookie可以用于攻击  
5.cookie 存储量很小。  
三、如何使用cookie？  
express中的cookie，你肯定能想到。 res负责设置cookie， req负责识别cookie。  
在express中可以使用cookie-parser中间件来操作cookie：  
1）安装  
npm install cookie-parser  
2)使用

const cookieParser = require('cookie-parser');
    
    app.use(cookieParser());//也可以签名，详见下面参数说明(signed)
    
    app.get("/a", (req, res) => { 
        console.log(req.cookies) //读取cookie
        res.cookie("money", 99.8, {  //设置cookie
            //domain:设置主域名//（子域名可以找主域名，主域名不可以找子域名；一般情况下一个网站一个cookie）
            //path："/" //cookie是保存在根路径下的，为了防止访问不到 （不能往下访问只能往上访问）
            //secure： 当 secure 值为 true 时， 在 HTTPS 中才有效； 反之， cookie 在 HTTP 中是有效。
            //httpOnly：浏览器不允许脚本操作 document.cookie 去更改 cookie。设置为true可以避免被 xss 攻击拿到 cookie
            maxAge: 14 * 86400 * 1000 //有效期
    })
    
        res.send("ok")
    })

四、cookie参数说明

a)name ：cookie的名字
    b)value ：cookie的值
    c)Domain ：允许的合法域名，已百度为例：

BD\_HOME 的Domain是www.baidu.com。意味着这个cookie内容只能在www.baidu.com域名下访问，news.baidu.com，tieba.baidu.com…都无法访问这个cookie内容；  
PSTM的Domain是.baidu.com。意味着cookie内容可以在www.baidu.com，news.baidu.com，zhidao.baidu.com等.baidu的二级域名下访问

d)path ：默认是 / ,也就是服务器根目录。表示当前Domain域名下的所有路径对这个cookie都可以访问。比如：

pwd的path是 / 意味着http://localhost:3000/login 也可以访问pwd这个cookie内容。但是user的path是/register，意味着http://localhost:3000/login 下不可以访问这个cookie，这个cookie就只能在http://localhost:3000/register下访问

e)expires/Max-age ：默认为session，会话级过期时间，也就是浏览器关闭后cookie被删除消失。可以设置这个过期时间：  
res.cookie(“user”, user, \{  
path: “/register”,  
// expires: new Date(Date.now() + 1000 \* 60 \* 60),  
maxAge: 1000 \* 60 \* 60 \* 2,  
\});

**注意：推荐使用max-age 来设置过期时间**

f)httpOnly ：true表示该cookie只可以由服务器端访问，客户端无法通过document.cookie访问  
备注：此功能可以防止客户端篡改cookie  
g)secure ：这是为true表示加密传输，该cookie就只能在https协议下访问，http协议无法获取secure的cookie

h)sameSite ：google浏览器在5.1版本后增加了一个sameSite的设置，这个设置用于限制第三方（跨域）cookie的访问  
i)Signed ：表示加密cookie的内容，默认cookie的value是明文，signed为true后可以根据设置的秘钥（cookieParser(‘秘钥’)）加密cookie

//若保存时，为加密形式，则需要使用signedCookies取值  
console.log(req.signedCookies);

注意：在node中使用req.cookies、req.signedCookies或res.cookie()的时候，需要先安装cookie-parser中间件，否则无法使用.
    	注意分辨写入cookie使用的是res，获取cookie使用的req

## Session ##

session是一种特殊的cookie  
session是存储在服务端,  
1）安装express-session中间件  
cnpm i express-session --save  
2）使用：

const session=require('express-session');
    
    //使用session中间件
    app.use(session({ 
        secret:"xxx"        //secret 属性必须配置，否则会报错
    }));
    
    app.get('/login',(req,res)=>{ 
        // id 值
        console.log(req.session.myName);
        req.session.myName='jack';//将数据存储到session中
        res.send('ok');
    })

3）session和cookie的区别  
由于http协议的无状态性，无法跟踪记录用户的状态和行为，所以需要借助cookie和session；比如，我们在网页上登录百度账号，登录成功后，我们发现在一定时间内打开百度网页不需要再次登录账号，为什么？  
首先，我们登录成功后，服务器会给浏览器写入一个cookie信息，这个cookie信息是当前用户的登录状态（这个cookie可以设置过期时间）；  
然后，后面的每次请求浏览器都会携带这个cookie到服务器上，这个过程是自动的，浏览器自发的，不需要我们人工操作；  
然后，服务器收到浏览器的发送来的cookie后，对这个cookie的value进行有效性判断，然后给予客户端不同的响应信息.

session是一种特殊的cookie，session也是使用cookie来跟踪用户的行为。它的工作流程如下：  
首先，我们访问某一个服务器的地址，比如访问了带有验证码的链接，服务器在生成这个验证的时候使到了session技术，服务器就会自动的给客户端浏览器发送一个sessionID，浏览器会将这个sessionID存储到cookie中（所以说session是特殊的cookie）。  
然后，客户在浏览器上填写完毕信息和验证码后，提交服务器，这个过程中浏览器会自动携带session cookie （sessionID）发送给服务器  
然后，服务器收到sessionID后，会和服务器上存储的session信息做比对，找到与这个sessionID关联的数据（req.session）  
4）cookie和localStorage的区别？  
a)cookie的大小是4k左右，localStorage是5M左右  
b)cookie有过期时间，localStorage是永久存储  
c)cookie会发送给服务器，localStorage不会，是本地行为  
d)cookie是比较古老的技术，不存在兼容性；localStorage是h5中的技术，有兼容性  
e)cookie可以设置domain和path，localStorage不行  
5）session的参数：  
a)Secret ：加密秘钥，使用express-session的时候必填，否则报错，字符串形式。  
b)name ：用来设置cookie session的名字。  
c)saveUninitialized ：默认为true，保存未初始化的session，意思是不管你是否使用session存储信息，都会给客户端浏览器写入一个sessionid，服务端也会保存这个session会话信息；如果设置为false，意味着只有当使用session存储信息的时候，服务端才会保存session会话信息，也才会给客户端浏览器写入sessionid（不见鬼子不拉线）；官方推荐设置为false  
d)resave：布尔类型(true)，强制所有session刷新，一旦有session存储操作，就会刷新整个session存储容器