什么是Session以及如何在 NestJS 项目中的优雅管理 Session

前言

Web开发中一个常见的问题是用户身份的管理和状态保持。Session 就是处理这个问题的一个传统技术。在这篇文章中，我们将探讨Session是什么，为什么我们需要Session，以及在NestJS项目中如何优雅地管理Session。

什么是Session

众所周知，HTTP协议是无状态的，这意味着每次浏览器请求服务器的时候，服务器并不知道这个请求与之前的请求是否来自同一个用户。这就像你每次到咖啡店，咖啡师都不记得你喜欢什么口味的咖啡一样。

为了解决这个问题，Session被设计来跟踪和保持用户的状态。Session可以被理解为服务器端存储的一块空间，每个用户都有一个独立的Session空间，用来保存用户相关的信息，比如用户的登录状态、购物车中的商品等。

当用户首次访问服务器时，服务器会为此用户创建一个独一无二的Session，并生成一个唯一的标识符（通常称为session ID）。随后，这个session ID会被存储在用户浏览器的cookie中。此后，用户的每次请求中都会携带这个session ID，服务器通过这个ID获取对应的Session信息，以识别用户身份。

为什么需要Session

我们需要Session主要是因为：

身份验证：通过Session检查用户是否登录，并获取用户的登录信息。
状态保持：无论用户在站点中浏览哪里，都能保持其特定的交互状态，如购物车数据或用户设置。
安全：Session可以在服务器端进行加密处理，保证敏感信息的安全。

NestJS 管理 Session

NestJS 是一个高效、可扩展的Node.js框架，它让管理Session变得优雅而简单。下面是如何在NestJS项目中管理Session的步骤。

步骤1：安装必要的包

npm install express-session

这是一个Node.js的中间件，用来在Express应用中创建Session。

步骤2：在NestJS中配置Session

import * as session from 'express-session';
import { NestFactory } from '@nestjs/core';
import { AppModule } from './app.module';async function bootstrap() {const app = await NestFactory.create(AppModule);app.use(session({secret: 'my-secret', // 生产环境中应该使用一个环境变量来保护这个密钥resave: false,saveUninitialized: false,cookie: { maxAge: 60000 }, // Cookie的过期时间(单位毫秒)}),);await app.listen(3000);
}
bootstrap();

在这里，我们通过 app.use()添加了Session中间件，并且配置了Session的一些选项，如secret、resave、saveUninitialized和cookie等。

步骤3：在应用程序中使用Session

import { Controller, Get, Session } from '@nestjs/common';@Controller()
export class AppController {@Get()getHello(@Session() session: Record<string, any>): string {if (session.visits) {session.visits++;} else {session.visits = 1;}return `该页面被访问了 ${session.visits} 次`;}
}

在这个例子中，我们通过 @Session()装饰器访问了请求对象的Session，并根据Session中存储的 visits来返回访问次数的信息。每次请求都会增加Session中的 visits值，服务器而且会做出相应的响应。这样就能够跟踪用户的访问次数，即使是在服务器不保持任何状态的情况下。

优化 Session 的管理

当我们提到“优雅”这个词，指的不仅是代码工作的能力，还包括如何设计更加健壮的系统。以下是一些优化NestJS中Session管理的建议：

使用环境变量（Environment Variables）
生产环境中不应该硬编码敏感信息。'my-secret' 应该由环境变量来代替，确保你的应用程序的安全。
Session存储
默认情况下，express-session 使用内存存储Session，这在开发环境下没问题。但在生产环境，你需要一个持久的存储解决方案，比如Redis或数据库。
安全的Cookie
生产环境的Cookie应该设置 httpOnly和 secure选项来增强安全性。

如何持久化存储 Session

举个例子，假设我们要使用Redis存储Session。首先需要安装相应package：

npm install connect-redis redis

配置Redis存储：

import * as session from 'express-session';
import * as connectRedis from 'connect-redis';
import { NestFactory } from '@nestjs/core';
import { AppModule } from './app.module';
import * as redis from 'redis';async function bootstrap() {const app = await NestFactory.create(AppModule);const RedisStore = connectRedis(session);const redisClient = redis.createClient({// Redis配置选项});app.use(session({store: new RedisStore({ client: redisClient }),secret: process.env.SESSION_SECRET, // 从环境变量中获取resave: false,saveUninitialized: false,cookie: {maxAge: 60000, // Cookie的过期时间(单位毫秒)httpOnly: true,secure: process.env.NODE_ENV === 'production', // 仅在生产环境下开启},}),);await app.listen(3000);
}
bootstrap();