文章目录

• • @[TOC](文章目录)
• 前言
• 一、 Cookie与session
• • 1.HTTP无状态
  • 2.cookie 和 session 的生命周期
  • • 2.1 cookie 生命周期影响因素
    • 2.2 session 生命周期影响因素
  • 3.cookie 和 session 的区别
  • 4.工作原理
  • 3 用户登录Node.js和Express验证session
• 二、JSON Web Token
• • 1. JWT 介绍
  • 2. JWT 组成部分
  • 3.JWT 的原理
  • 4.用户登录Node.js和Express验证JWT

前言

本文记录了用户登录的两种鉴权方式，以及相关知识点的记录。

---

一、 Cookie与session

• cookie和session是来实现状态的记录，都是由服务器生成，用来存储特定的值。
• 一般情况下，在服务器端，session的存储方式：文件方式、数据库方式，用 sessionId 来识别。
• 客户端（浏览器）在发送请求的时候，会自动将存活、可用的cookie封装在请求头（headers）中和请求一起发送。

1.HTTP无状态

• HTTP 协议是无状态的，无状态意味着，服务器无法给不同的客户端响应不同的信息。这样一些交互业务就无法支撑。

2.cookie 和 session 的生命周期

2.1 cookie 生命周期影响因素

• cookie自身的存活时间：是服务器生成cookie时去设定的。
• 客户端是否保留cookie。对客户端自身有影响，对其它封包工具无影响。

2.2 session 生命周期影响因素

• 服务器对于session对象保存的最大时间设置。
• 客户端进程是否关闭。对客户端自身有影响，对其它封包工具无影响。

3.cookie 和 session 的区别

• 存储位置：cookie 是存在客户端，session是存在服务端。
• 安全性：session 比 cookie 更安全。
• 存储内容：Session中存储的是对象，而Cookie中存储的是字符串。
• 保持时间：Session随会话结束而关闭，而Cookie可以长期保存在客户端，除非被设置过期或者被删除。
• 对服务器压力：每个用户都会产生一个session，如果并发访问的用户过多，就会产生非常多的session，耗费大量的内存。

为什么session 比 cookie 更安全？

• cookie 是存储在客户端的，可见、可改变。
• session 存储在服务器端，不可见，不可改变。

4.工作原理

1、用户向服务器发送用户名和密码。
2、服务器验证通过后，在当前对话（session）里面保存相关数据，比如用户角色、登录时间等等。
3、服务器向用户返回一个 session_id，写入用户的 Cookie。
4、用户随后的每一次请求，都会通过 Cookie，将 session_id 传回服务器。
5、服务器收到 session_id，找到前期保存的数据，由此得知用户的身份。

3 用户登录Node.js和Express验证session

• express 引入会自动生成加密的 sessionId， 然后校验session

const express = require("express");
const session = requrie("express-session");
const MongoStore = require("connect-mongo")
const app = express();
//注册session
app.use(session({secret:"this is session",//服务器生成sessionresave:true,saveUninitialized:true,//强制将初始化的session 存储cookie:{maxAge:100 * 60 * 10, //过期时间secure:false, //为true的时候只有 https 协议才能访问cookie},rolling:true, //true:超时前刷新，cookie会重新计时//false：超时前刷新多次，按第一次刷新计时store:MongoStore.create({mongoUrl:'mongodb://127.0.0.1:27017/vv_session',ttl: 1000 * 60 * 10, //过期时间}),})
);
//设置session
app.use((req,res,next)=>{if(req.url === "/login"){next()return;}if(req.session.user){req.session.garbage = Date();next();}else{res.redirect("/login")}
})
//注销session

---

二、JSON Web Token

1. JWT 介绍

• JSON Web Token（JWT），又称为JSON令牌，是一种用于在网络应用之间安全地传输信息的开放标准（RFC 7519）。它采用了一种紧凑的、自包含的方式来表示信息，通常用于身份验证和授权。JWT的设计目标是确保信息的完整性和安全性，同时具备易于使用和传输的特点。

2. JWT 组成部分

• Header （头部）：是一个 JSON 对象，通常由 token 类型和签名算法名两部分组成。
  { "alg": "HS256", //示签名的算法（algorithm） "typ": "JWT" //表示这个令牌（token）的类型（type） }
• Payload（载荷）：也是一个 JSON 对象，用来存放实际需要传递的数据，通常会被base64url编码

JWT 规定了7个官方字段

• iss (issuer)：签发人
• exp (expiration time)：过期时间
• sub (subject)：主题
• aud (audience)：受众
• nbf (Not Before)：生效时间
• iat (Issued At)：签发时间
• jti (JWT ID)：编号

• Signature（签名）：将Header和Payload部分组合起来，防止数据篡改。

3.JWT 的原理

• 服务器认证以后，生成一个 JSON 对象，发回给用户，以后在用户与服务端通信的时候，都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名。
  

4.用户登录Node.js和Express验证JWT

const express = require('express');
const jwt = require('jsonwebtoken');const app = express();
const secretKey = 'your-secret-key';// 中间件：验证JWT
const verifyToken = (req, res, next) => {const token = req.headers.authorization;if (!token) {return res.status(401).json({ message: '无法验证身份' });}jwt.verify(token, secretKey, (err, decoded) => {if (err) {return res.status(401).json({ message: '身份验证失败' });}req.user = decoded;next();});
};// 路由：受保护的资源
app.get('/protected', verifyToken, (req, res) => {res.json({ message: '欢迎访问受保护的资源', user: req.user });
});// 路由：生成JWT
app.post('/login', (req, res) => {const user = { id: 1, username: 'user123' };const token = jwt.sign(user, secretKey, { expiresIn: '1h' });res.json({ token });
});app.listen(3000, () => {console.log('服务器运行在端口 3000');
});