安全性之上：Node.js 服务器与 AJAX 之间引入会话的必要性

前端

2023-09-17 00:38:14

Node.js 服务器与 AJAX 复习，第六天

在更文挑战的征程中，我们走到了第 25 天。在之前的内容中，我们已经了解了如何使用 Cookie 来保持用户的登录状态。然而，Cookie 存储在前端，存在一定的安全隐患。因此，我们引入了一个更安全的解决方案：会话。

Cookie 与会话：关键差异

Cookie 是一种轻量级文本文件，存储在用户的浏览器中。它们用于在服务器和客户端之间保存少量数据，例如登录状态或首选项。然而，Cookie 可能会被窃取或篡改，从而带来安全风险。

会话与 Cookie 类似，但它们是存储在服务器端的。当用户首次访问网站时，服务器会创建一个唯一的会话 ID，并将其存储在用户浏览器中。会话 ID 充当令牌，用于标识用户在服务器上的会话。

引入会话的必要性

通过使用会话，我们可以极大地提高 Web 应用的安全性：

防 CSRF 攻击： 跨站请求伪造 (CSRF) 攻击会利用 Cookie 来冒充合法用户执行恶意操作。会话可以通过在每个会话中创建唯一的 ID 来防止此类攻击。
防会话劫持： 会话劫持是攻击者窃取有效会话并冒充用户的一种攻击形式。会话可以防止这种情况，因为它会定期过期，并且只能从用户的设备访问。

在 Node.js 中集成会话

在 Node.js 中，我们可以使用 Express 会话中间件来轻松地将会话集成到我们的应用中。这将创建会话对象，并将其存储在请求对象中。

const express = require('express');
const session = require('express-session');

const app = express();

app.use(session({
  secret: 'yourSecret',
  resave: false,
  saveUninitialized: false
}));

// 您的应用逻辑...

实际示例

让我们创建一个简单的 Node.js 应用，演示会话是如何工作的：

const express = require('express');
const session = require('express-session');

const app = express();

app.use(session({
  secret: 'yourSecret',
  resave: false,
  saveUninitialized: false
}));

app.get('/login', (req, res) => {
  // 创建会话
  req.session.user = { username: 'John' };

  res.redirect('/');
});

app.get('/', (req, res) => {
  // 检索会话
  const user = req.session.user;

  if (user) {
    res.send(`欢迎回来，${user.username}！`);
  } else {
    res.redirect('/login');
  }
});

app.listen(3000);