理解session机制

理解session机制 
session机制是一种服务器端的机制，服务器使用一种类似于散列表的结构（也可能就是使用散列表）来保存信息。 

当程序需要为某个客户端的请求创建一个session的时候，服务器首先检查这个客户端的请求里是否已包含了一个session标识 - 称为session id，如果已包含一个session id则说明以前已经为此客户端创建过session，服务器就按照session id把这个session检索出来使用（如果检索不到，可能会新建一个），如果客户端请求不包含session id，则为此客户端创建一个session并且生成一个与此session相关联的session id，session id的值应该是一个既不会重复，又不容易被找到规律以仿造的字符串，这个session id将被在本次响应中返回给客户端保存。 保存这个session id的方式可以采用cookie，这样在交互过程中浏览器可以自动的按照规则把这个标识发挥给服务器。一般这个cookie的名字都是类似于SEEESIONID，而。比如weblogic对于web应用程序生成的cookie，JSESSIONID=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764，它的名字就是JSESSIONID。

 

每个客户端不论有没有登录，只要访问服务器都会产生一个session（设置了session的服务器）附带sessionId，并且会发送给客户端；

一般使用cookie发送sessionId，用户的cookie中带有sessionid；用户在访问别的页面的时候发生如下几件事情；

服务器用cookie的sessionid查找session；将session挂载到req上；这样用户去别的页面也会带有req.session;

以上的事件动作，不论用户有没有登录都会发生，设计登录网站的模式就是检验session中是否有用户信息；根据用户信息显示相应的页面；

只不过没有登录的用户，用户信息不会被保存到session中；

登录用户的信息保存在session中的动作，一般通过post方式的回调完成；

若用户登录，通过用户登录传过来的参数（req.body.name,req.body.password）查找用户信息，手动将用户信息保存到session中（

req.session.user = user），user来自于，

User.findOne({nam:ereq.body.name,password:req.body.password},function(err,user){

req.session.user = user;

//将用户的信息保存到req.session中；req.session类似一个对象，也可以叫做散列表（哈希表，对象字面量）；

})；

执行了以上动作之后；用户在登录其他页面，动作一次执行如下：

1、通过cookie中的sessionid查找session；并通过中间件把session挂在到req（request）上；

2、验证req.session中是否登录，并根据req.session.user其中用户显示相应信息；

 

关于理解“只要关闭浏览器，session就消失了”。对session来说，除非程序通知服务器删除一个session，否则服务器会一直保留，程序一般都是在用户做log off的时候发个指令去删除session。然而浏览器从来不会主动在关闭之前通知服务器它将要关闭，因此服务器根本不会有机会知道浏览器已经关闭，大部分session机制都使用会话cookie来保存session id，而关闭浏览器后这个session id就消失了，再次连接服务器时也就无法找到原来的session。如果服务器设置的cookie被保存到硬盘上，或者使用某种手段改写浏览器发出的HTTP请求头，把原来的session id发送给服务器，则再次打开浏览器仍然能够找到原来的session。 

恰恰是由于关闭浏览器不会导致session被删除，迫使服务器为seesion设置了一个失效时间，当距离客户端上一次使用session的时间超过这个失效时间时，服务器就可以认为客户端已经停止了活动，才会把session删除以节省存储空间。

 总结：nodejs设置session，用户访问路由，用户请求req会带上session即req.session,同时服务器内存(也可以是数据库)会存储一份和这个用户相关的session；关于服务器怎么区分哪个用户的session，用的是cookie机制，cookie中存储一个唯一的sessionId；每次用户的cookie带着唯一的sessionId进来，【传递给服务器，服务器返回唯一session】

现在不明白的是在哪一步,服务器去根据sessionId去检索session并将其赋值给req，应该是在中间件中完成,具体怎么完成不太清楚;

个人猜测app.use(session({}))中是一个if判断语句，判断cookie中是否有sessionId字段，没有的话创建一个，有的话，判断有无过期，过期的话重新创建，没过期，返回session；之后将返回的session挂载到req上；