Express + Session如何实现登录验证功能

Express Session 是一个基于 Node.js 平台的中间件，用于实现会话管理的功能。会话管理是指在服务器端向客户端(浏览器)发送一个 的标识符，用于标识客户端的身份，使得客户端在一段时间内可以访问特定的资源。在 Web 应用中， Session 经常用于实现登录验证功能。

Session 原理简介

在讲解 Session 之前，我们先来介绍一下 HTTP 协议的工作原理。 HTTP 协议是一种无状态的协议，每次客户端(浏览器)与服务器端进行通信时，都是一次新的连接。为了保证客户端在一个会话期内可以访问特定的资源，我们需要一种机制来标识客户端的身份。这时候，就可以使用 Session 来解决这个问题。

Session 的工作原理如下：

1. 当浏览器 次向服务器端发送请求时，服务器端会创建一个 的标识符(通常是一个字符串)。

2. 服务器端将这个标识符发送给客户端，客户端在本地存储这个标识符，通常使用 Cookie 或者 LocalStorage 来存储。

3. 客户端在后续的请求中将这个标识符发送给服务器端，在服务器端即可根据这个标识符来识别客户端的身份。

4. 服务器端可以将一些信息存储在 Session 中，例如用户的登录信息等，以实现登录验证的功能。

Session 的具体实现

在 Node.js 平台上，我们可以使用 Express Session 来实现会话管理的功能。Express Session 集成了 Cookie Parser 和 Session Storage 两个中间件，可以很方便地实现 Session 功能。以下是 Express Session 的安装和使用步骤：

1. 安装 Express Session

在 Node.js 项目中安装 Express Session，可以使用 npm 命令：

npm install express-session --save

2. 引入中间件

在 app.js 或者 index.js 中引入中间件：

const express = require('express');
const session = require('express-session');
const app = express();

// 设置 Session 中间件
app.use(session({
    secret: 'keyboard cat',  // 密钥，用于加密 Session ID 等敏感信息
    resave: false,  // 是否强制保存 Session，默认为 true
    saveUninitialized: false  // 是否自动保存未初始化的 Session，默认为 true
}));

在上面的代码中，我们使用了 express-session 中间件，并设置了一些选项参数：

- secret：用于加密 Session ID 等敏感信息的密钥，建议使用一个长字符串来保证安全性。

- resave：是否强制保存 Session，如果设置为 false，则只有在会话数据发生变化时才会被保存，默认为 true，建议设置为 false。

- saveUninitialized：是否自动保存未初始化的 Session，默认为 true，建议设置为 false，可以减少服务器的负担。

3. Session 的使用

在实现登录验证功能时，我们需要在服务器端记录用户的登录信息并与 Session 关联。以下是一些基本的 Session 操作：

- 设置 Session

req.session.key = value;

在 req 对象中，使用 session 属性来访问 Session，可以存储（保存）一个键值对。

- 获取 Session

const value = req.session.key;

在 req 对象中，使用 session 属性来访问 Session，可以获取一个键对应的值。

- 删除 Session

delete req.session.key;

在 req 对象中，使用 session 属性来访问 Session，可以删除一个键值对。

4. 登录验证功能的实现

以下是一个简单的登录验证功能的实现，使用 Session 来记录用户的登录信息：

const express = require('express');
const session = require('express-session');
const app = express();

app.use(session({
    secret: 'keyboard cat',  // 密钥，用于加密 Session ID 等敏感信息
    resave: false,  // 是否强制保存 Session，默认为 true
    saveUninitialized: false  // 是否自动保存未初始化的 Session，默认为 true
}));

// 处理登录请求
app.post('/login', (req, res) => {
    const username = req.body.username;
    const password = req.body.password;

    // 验证用户名和密码，并设置 Session
    if (username === 'admin' && password === 'admin') {
        req.session.user = {
            username: username,
            isAdmin: true
        };
        res.send('Login Success');
    } else {
        res.status(401).send('Invalid Username or Password');
    }
});

// 处理受限资源请求
app.get('/admin', (req, res) => {
    // 验证登录状态，并向受限资源发送响应
    if (req.session.user && req.session.user.isAdmin) {
        res.send('Admin Page');
    } else {
        res.status(401).send('Unauthorized');
    }
});

app.listen(3000);

在上面的代码中，我们设置了一个 POST 路由用于处理登录请求。当用户名和密码验证通过时，设置了一个 user 对象存储在 Session 中，并设置了 isAdmin 属性为 true，表示是管理员用户。

我们还设置了一个 GET 路由用于处理受限资源请求。当请求的资源需要管理员权限时，判断 Session 中是否存在 user 对象，并判断 isAdmin 属性是否为 true，如果条件满足，向客户端发送响应；否则向客户端返回 401 状态码表示未授权。

总结

本文主要介绍了 Session 的工作原理和 Express Session 的使用。Session 是一种会话管理机制，在 Web 应用中经常用于实现登录验证功能。使用 Express Session，我们可以很方便地实现 Session 功能，并将其与 Node.js 项目集成。在实现登录验证功能时，我们需要向服务器端记录用户的登录信息，并使用 Session 来关联用户身份，以实现授权访问受限资源的功能。