标签：初学   服务   缓存   就会   gen   超过   表示   负载均衡   ++   

• name: 设置 cookie 中，保存 session 的字段名称，默认为 connect.sid 。
• store: session 的存储方式，默认存放在内存中，也可以使用 redis，mongodb 等。express 生态中都有相应模块的支持。
• secret: 通过设置的 secret 字符串，来计算 hash 值并放在 cookie 中，使产生的 signedCookie 防篡改。
• cookie: 设置存放 session id 的 cookie 的相关选项，默认为
  • (default: { path: ‘/‘, httpOnly: true, secure: false, maxAge: null })
• genid: 产生一个新的 session_id 时，所使用的函数， 默认使用 uid2 这个 npm 包。
• rolling: 每个请求都重新设置一个 cookie，默认为 false。
• resave: 即使 session 没有被修改，也保存 session 值，默认为 true。

1） 在内存中存储 session

express-session 默认使用内存来存 session，对于开发调试来说很方便。

1.  
   var express = require(‘express‘);
2.  
   // 首先引入 express-session 这个模块
3.  
   var session = require(‘express-session‘);
4.  
    
5.  
   var app = express();
6.  
   app.listen(5000);
7.  
    
8.  
   // 按照上面的解释，设置 session 的可选参数
9.  
   app.use(session({
10.  
    secret: ‘recommand 128 bytes random string‘, // 建议使用 128 个字符的随机字符串
11.  
    cookie: { maxAge: 60 * 1000 }
12.  
    }));
13.  
     
14.  
    app.get(‘/‘, function (req, res) {
15.  
     
16.  
    // 检查 session 中的 isVisit 字段
17.  
    // 如果存在则增加一次，否则为 session 设置 isVisit 字段，并初始化为 1。
18.  
    if(req.session.isVisit) {
19.  
    req.session.isVisit++;
20.  
    res.send(‘

    第 ‘ + req.session.isVisit + ‘次来此页面

    ‘);
21.  
    } else {
22.  
    req.session.isVisit = 1;
23.  
    res.send("欢迎第一次来这里");
24.  
    console.log(req.session);
25.  
    }
26.  
    });

2） 在 redis 中存储 session

session 存放在内存中不方便进程间共享，因此可以使用 redis 等缓存来存储 session。

假设你的机器是 4 核的，你使用了 4 个进程在跑同一个 node web 服务，当用户访问进程1时，他被设置了一些数据当做 session 存在内存中。而下一次访问时，他被负载均衡到了进程2，则此时进程2的内存中没有他的信息，认为他是个新用户。这就会导致用户在我们服务中的状态不一致。

使用 redis 作为缓存，可以使用 connect-redis 模块来得到 redis 连接实例，然后在 session 中设置存储方式为该实例。

我们可以运行 redis-cli 查看结果，如图可以看到 redis 中缓存结果。

我们可以运行 redis-cli 查看结果，如图可以看到 redis 中缓存结果。

各种存储的利弊

上面我们说到，session 的 store 有四个常用选项：1）内存 2）cookie 3）缓存 4）数据库

其中，开发环境存内存就好了。一般的小程序为了省事，如果不涉及状态共享的问题，用内存 session 也没问题。但内存 session 除了省事之外，没有别的好处。

cookie session 我们下面会提到，现在说说利弊。用 cookie session 的话，是不用担心状态共享问题的，因为 session 的 data 不是由服务器来保存，而是保存在用户浏览器端，每次用户访问时，都会主动带上他自己的信息。当然在这里，安全性之类的，只要遵照最佳实践来，也是有保证的。它的弊端是增大了数据量传输，利端是方便。

缓存方式是最常用的方式了，即快，又能共享状态。相比 cookie session 来说，当 session data 比较大的时候，可以节省网络传输。推荐使用。

数据库 session。除非你很熟悉这一块，知道自己要什么，否则还是老老实实用缓存吧。

cookie-session

上面一直提到 session 可以存在 cookie 中，现在来讲讲具体的思路。这里所涉及的专业名词叫做 对称加密。

假设我们想在用户的 cookie 中存 session data，使用一个名为 session_data 的字段。

存

var sessionData = {username: ‘alsotang‘, age: 22, company: ‘alibaba‘, location: ‘hangzhou‘}

这段信息的话，可以将 sessionData 与我们的 secret_string 一起做个对称加密，存到 cookie 的 session_data 字段中，只要你的 secret_string 足够长，那么攻击者也是无法获取实际 session 内容的。对称加密之后的内容对于攻击者来说相当于一段乱码。

而当用户下次访问时，我们就可以用 secret_string 来解密 sessionData，得到我们需要的 session data。

signedCookies 跟 cookie-session 还是有区别的：

1）是前者信息可见不可篡改，后者不可见也不可篡改

2）是前者一般是长期保存，而后者是 session cookie

cookie-session 的实现跟 signedCookies 差不多。

不过 cookie-session 我个人建议不要使用，有受到回放攻击的危险。

回放攻击指的是，比如一个用户，它现在有 100 积分，积分存在 session 中，session 保存在 cookie 中。他先复制下现在的这段 cookie，然后去发个帖子，扣掉了 20 积分，于是他就只有 80 积分了。而他现在可以将之前复制下的那段 cookie 再粘贴回去浏览器中，于是服务器在一些场景下会认为他又有了 100 积分。

如果避免这种攻击呢？这就需要引入一个第三方的手段来验证 cookie session，而验证所需的信息，一定不能存在 cookie 中。这么一来，避免了这种攻击后，使用 cookie session 的好处就荡然无存了。如果为了避免攻击而引入了缓存使用的话，那不如把 cookie session 也一起放进缓存中。

session cookie

初学者容易犯的一个错误是，忘记了 session_id 在 cookie 中的存储方式是 session cookie。即，当用户一关闭浏览器，浏览器 cookie 中的 session_id 字段就会消失。

常见的场景就是在开发用户登陆状态保持时。

假如用户在之前登陆了你的网站，你在他对应的 session 中存了信息，当他关闭浏览器再次访问时，你还是不懂他是谁。所以我们要在 cookie 中，也保存一份关于用户身份的信息。

比如有这样一个用户

{username: ‘alsotang‘, age: 22, company: ‘alibaba‘, location: ‘hangzhou‘}

我们可以考虑把这四个字段的信息都存在 session 中，而在 cookie，我们用 signedCookies 来存个 username。

登陆的检验过程伪代码如下：

1.  
    
2.  
   if (req.session.user) {
3.  
   // 获取 user 并进行下一步
4.  
   next()
5.  
   } else if (req.signedCookies[‘username‘]) {
6.  
   // 如果存在则从数据库中获取这个 username 的信息，并保存到 session 中
7.  
   getuser(function (err, user) {
8.  
   req.session.user = user;
9.  
   next();
10.  
    });
11.  
    } else {
12.  
    // 当做为登陆用户处理
13.  
    next();
14.  
    }

转载自：http://wiki.jikexueyuan.com/project/node-lessons/cookie-session.html

nodeJs的cookie和session

标签：初学   服务   缓存   就会   gen   超过   表示   负载均衡   ++   

原文地址：https://www.cnblogs.com/fsg6/p/13151618.html