nodejs之cookie和session
由于最近工作需要又将node捡了起来。翻了下之前的笔记，想着把几篇比较详细的整理下分享出来。第一篇就来说说经常会用到的cookie&session。
由来
众所周知http是一个无状态的协议，服务端无法跟踪客户端的状态。那么就会导致一个问题，如我们以管理员身份登录一个后台管理系统，登录成功后跳转到管理页面，那在我们进行操作时，服务器怎么知道我们是否已经登录过了呢？
cookie
为了解决上面的问题，cookie诞生了。
cookie是http协议中的一部分，浏览器向服务器发请求，成功后服务器向浏览器返回一个cookie，那么以后浏览器向服务器发送的所有请求都会携带这个cookie。
首先安装express框架，当然你也可以使用koa。这里演示代码都是express。
在express中cookie不是自带的，所以需要安装对应的中间件进行操作，koa中的cookie就是框架自带的就不需要另外安装。
安装cookie-parser中间件
npm i cookie-parser -D
写cookie
安装成功后，先引入cookie-parser。然后在任意路由中去尝试写一个cookie
const express = require('express');
const cookieParser = require('cookie-parser');
let server = express();
server.listen(8080);
// 使用中间件
server.use(cookieParser());
server.get('/index',(req, res) => {
// 使用了中间件后就可以访问req和res上的cookies对象
console.log(req.cookies);
// 写cookie
res.cookie('num', 10, {
// domain: 'xxx.com',
// path: '/',
maxAge: 24 * 3600 * 1000
})
res.send('ok');
})
cookie的读取和设置都很简单，设置的时候有一些可选参数，
- domain：存储的域名，cookie是不跨域的，并且存储在主域名中子域名是可以访问到的，但是如果存在子域名中那么主域名是无法访问的。所以这里一般是存在主域名，避免子域名访问不到cookie。
- path：存储路径，与domain类似，所以一般也是指定根路径。
- maxAge：有效期（毫秒）
运行下代码，然后到浏览器中查看刚刚写入的cookie
打开浏览器F12，到Application中找到Cookies，就可以看到刚刚写入的cookie，名字和值以及有效期都是我们设置的。再次刷新后我们也可以在命令行中看到服务器打印的cookie。
简单的cookie读写就完成了。
安全隐患
这里我们可以知道cookie是存在浏览器中的，并且请求服务器的时候会一并带过去。这样就一定会有安全隐患，我们先把服务器写cookie的逻辑注释掉，重新运行服务器，然后尝试在浏览器中手动修改cookie。
这里我们将值修改为10000。刷新页面后在命令行中可以看到服务器获取的值就是10000。
cookie就这样很容易的在浏览器中被我们修改了。如果cookie存了一些比较重要的数据，后果会非常严重。
cookie签名
怎么样才能做到让服务器验证cookie准确性，让服务器发现cookie是否被人为修改。
就要用到cookie签名。修改下服务器代码。
// 密钥
server.use(cookieParser(
'dasdasdasdasfewg315nkl23k1ml41m24kl1nm5kol312n5kl32n5oj3n4oi1jm4o1k2m4'
));
在使用cookieParser中间件的时候加入一个签名密钥，一般是随机生成的一个字符串
然后在设置cookie的时候加入几个参数。
server.get('/index',(req, res) => {
// 签名后的cookie需要通过signedCookies访问
console.log(req.signedCookies);
res.cookie('num', 10, {
// httpOnly: true,
// secure: true,
signed: ture
maxAge: 24 * 3600 * 1000
})
res.send('ok');
})
- httpOnly：设置cookie只能由服务器操作，前台看不到
- secure：只有在https的情况下才能使用cookie
- singed：设置cookie是否签名
这里我先现开启签名。然后运行代码
可以看到这回的cookie是一串乱码。将乱码复制出来是这样的。
s%3A10.y4%2BaUbiQxjUS%2FvaGtU%2BaZnAZ9WxVHXy3O0zr%2BgoCdGk
%3A代表":"，转换下得到如下：
s:10.y4%2BaUbiQxjUS%2FvaGtU%2BaZnAZ9WxVHXy3O0zr%2BgoCdGk
通过以上得出签名后的cookie格式为：
s:值.签名
这样如果我们尝试修改其中的值，还会不会生效了呢？
将服务器设置cookie的代码注释掉，只打印cookie，然后在浏览器中修改cookie。
修改后的cookie因为无法通过服务器的签名验证，所以是无法获取的。这样就确保了cookie的安全性，虽然签名可以增加cookie的安全性，但是增大体积，由于cookie只有4k的存储空间，所以我们只签名重要的信息。
session
cookie 虽然很方便，但是使用 cookie 有一个很大的弊端，就是存储在浏览器，虽说可以对cookie进行签名，但是也不能保证cookie的绝对安全，并且将重要的信息存在客户端本身就是不安全的事情。同时cookie也受限于大小。为了解决这些问题session也诞生了。
session 中的数据是保留在服务器端的。session不会单独存储，会有标识，这个标识叫做session_id 或者 token。并且session是强制加密的。
同样我们需要另一个中间件操作session，cookie-session
npm i cookie-session -D
使用方式与cookie-parser类似，先引入cookie-session
const cookieSession = require('cookie-session');
然后进行循环密钥签名，密钥一般是通过程序生成的，可能几千几万条，这里方便演示，只写几条。
server.use(cookieSession({
keys: ['dasdas21fsdffedsfds4das21321', 'safdas454325235325trgtrthdfthd', '21ed2rf3245r23r2354r235235'],
maxAge: 20 * 60 * 1000 // 有效期20分钟
}));
然后在接口中设置和获取session
server.get('index', (req, res) => {
console.log(req.session);
res.session['num'] = 10;
res.send('ok');
});
运行代码，打开浏览器调试工具找到cookies，
cookie中有两个值，一个是session，一个是session.sig
将服务器中设置session的代码注释掉，再刷新页面，可以看到命令行中就打印了我们设置的session值。
就算其他用户通过session劫持拿到了我们的session值，但是每个用户的session.sig签名是通过循环密钥生成的，数量庞大的循环密钥相同的几率很小。并且在浏览器手动修改session后，服务器也会感知到这个session和session.sig不是对应的。确保数据的安全性。同时也可以通过更换循环密钥和减少session有效期来提升安全性。
需要注意的是session是存在服务器的文件中。读写比较消耗性能。我们可以将其保存在redis、内存、数据库中以优化性能。（如使用mysql-session）