node 之 身份认证(cookie,session,token<jwt>)
对于服务端渲染和前后端分离这两种开发模式来说,分别有着不同的身份认证方案:
.服务端渲染推荐使用 Session 认证机制 (SessIon也会用到cookie)
前后端分离推荐使用 jwt 认证机制
cookie (保存在浏览器上)
简单案例
//导入模块
const express = require("express"); const path = require("path"); const cookieParser = require("cookie-parser");
//创建服务 const app = express(); app.listen("8001", () => { console.log("服务已开启"); }); // 应用级配置使用cookie-parser app.use(cookieParser()); //应用级配置 app.use(express.urlencoded({ extended: false })); //登录页面 app.get("/login.html", (req, res) => { res.sendFile(path.join(__dirname, "public", "login.html")); }); //登录提交的接口 app.post("/api/login", (req, res) => { if (req.body.username === "admin" && req.body.password === "123") { res.cookie("isLogin", 1, { maxAge: 2 * 1000 }); res.send(`<script>alert('登录成功');location.href="/index.html";</script>`); } else { res.send(`<script>alert('登录失败');location.href="/login.html";</script>`); } }); //后台首页 app.get("/index.html", (req, res) => { if (req.cookies && req.cookies.isLogin === "1") { res.sendFile(path.join(__dirname, "public", "index.html")); } else { res.send(`<script>alert('登录失败');location.href="/login.html";</script>`); } });
有效期
默认:浏览会话结束(也就是关闭浏览器)
设置有效期:res.cookie('isLogin',1,{maxAge:毫秒数})
优缺点:
优点:
体积小
客户端存放,不占用服务器空间
浏览器会自动携带,不需要写额外的代码,比较方便
缺点
客户端保存,安全性较低,但是可以存放加密的字符窜来解决
可以实现跨域,但是难度大,难理解,代码难度高
不适合前后端分离的开发
适用场景
传统的服务器渲染模式
存储安全性较低的数据,比如视频的存放位置等
session (保存在服务器上)
简单案例
//导入模块
const express = require("express"); const path = require("path"); // const cookieParser = require("cookie-parser"); const session = require("express-session"); const app = express(); app.listen("8001", () => { console.log("服务已开启"); }); // 应用级配置使用cookie-parser // app.use(cookieParser()); //应用级配置 app.use(express.urlencoded({ extended: false })); app.use( session({ secret: "123", //这个随便写,第二次进行加密 saveUninitialized: false, resave: false, }) ); //登录页面 app.get("/login.html", (req, res) => { res.sendFile(path.join(__dirname, "public", "login.html")); }); //登录提交的接口 app.post("/api/login", (req, res) => { console.log(req.body); if (req.body.username === "admin" && req.body.password === "123") { // res.cookie("isLogin", 1, { maxAge: 2 * 1000 }); req.session.isLogin = 1; res.send(`<script>alert('登录成功');location.href="/index.html";</script>`); } else { res.send(`<script>alert('登录失败');location.href="/login.html";</script>`); } }); //后台首页 app.get("/index.html", (req, res) => { if (req.session && req.session.isLogin === 1) { console.log("这个session是有数据的"); } // if (req.cookies && req.cookies.isLogin === "1") { // res.sendFile(path.join(__dirname, "public", "index.html")); // } else { // res.send(`<script>alert('登录失败');location.href="/login.html";</script>`); // } });
有效期
默认:浏览会话结束(也就是关闭浏览器)
优缺点:
优点:
服务端存放,安全性高
浏览器会自动携带cookie,不需要写额外的代码,比较方便
适合服务器端渲染模式
缺点
占用服务器端空间
session实现离不开cookie,如果禁用cookie,session不好实现
不适合前后端分离的开发
适用场景
传统的服务器渲染模式
安全性要求比较高的数据可以使用session存放,比如用户私密信息,验证码等
JWT(token) json web token
注意:数据持久化 : localStorage 可以存储 token
原理分析
1.前端提交用户名和密码,服务端验证
2.服务端验证通过,生成token,返回给前端
3.前端自行保存token(localstorage)
4.登录成功后,每次请求要在请求头带上Authorization,只是token
简单案例
//express-jwt 模块用于解密 'token' 字符串
//规范:解密token,
//1.unless:如果没有unless方法,则默认所有接口都需要验证,unless把不要验证的接口排除掉
//2.secret:加密秘钥
//3.algorithms:加密算法 ['HS256']
//4.path 取值范围,
//---字符串表示排除一个地址,如'/api/login'
//---数组:表示排除多个地址,如['/api/login','']
//---正则:表示排除符合规则的地址,如/^\/api/(排除以/api开头的接口)
//jsonwebtoken 模块用于加密 , 还可以控制哪些接口需要身份认证
//规范:
//1.token:'bearer '+jwt.sign(要保存的信息,秘钥,配置项)
//2.expiresIn 值是字符串时为毫秒,值是数字时为秒
//导入模块
const express = require("express");
const jwt = require("jsonwebtoken");
const expressJWT = require("express-jwt");
//创建服务
const app = express();
app.listen("8001", () => {
console.log("服务已经开启");
});
//应用级配置
app.use(express.urlencoded({ extended: false }));
//用于token验证应用级配置
app.use(
expressJWT({
secret: "bigevent-970",
algorithms: ["HS256"],
}).unless({ path: /^\/api/ })
);
//请求
app.post("/api/login", (req, res) => {
console.log(req.body);
if (req.body.username === "admin" && req.body.password === "123") {
res.json({
status: 0,
msg: "登录成功",
token:
"bearer " +
jwt.sign({ username: "admin", age: 20 }, "bigevent-970", {
expiresIn: 20,
}),
});
} else {
res.json({
status: 1,
msg: "登录失败",
});
}
});
//用去用户信息
app.get("/my/getUser", (req, res) => {
res.json({
status: 0,
msg: "获取信息成功",
data: {
name: "admin",
age: 18,
},
});
});
优缺点:
优点:
token由客户端保存,不会占用服务器空间
缺点
客户端发送请求的时候,需要手动编写代码,携带token
适用场景
适合前后端分离的开发模式
