文章目录

• 前言
• 一、cookie
• • 1.1 cookie 是什么
  • 1.2 cookie 的特点
  • 1.3 cookie 的运行流程
  • 1.4 express 框架中设置cookie
  • 1.5 express 框架中删除cookie
  • 1.6 express 框架中获取cookie
• 二、session
• • 2.1 session 是什么
  • 2.2 session 的作用
  • 2.3 session 的运行流程
  • 2.4 session 和 cookie 的区别
• 三、token
• • 3.1 token 是什么
  • 3.2 token 的作用
  • 3.3 token 的工作流程
  • 3.4 token 的特点
  • 3.5 JWT

前言

HTTP是一种无状态协议，它没有办法区分多次的请求是否来自于同一个客户端，无法区分用户。而产品中又大量存在这样的需求，所以我们需要通过会话控制来解决问题。
常见的会话控制有三种：
（1）cookie
（2）session
（3）token

一、cookie

1.1 cookie 是什么

cookie 是HTTP服务器发送到用户浏览器并保存在本地的一小块数据。
cookie 是保存在浏览器端的一小块数据
cookie 是按照域名划分保存的

1.2 cookie 的特点

浏览器向服务器发送请求时，会自动将当前域名下可用的cookie设置在请求头中，然后传递给服务器。这个请求头的名字也叫‘cookie’，所以将cookie理解为一个HTTP请求头也是可以的。

1.3 cookie 的运行流程

填写账号和密码校验身份，校验通过后下发cookie

有了cookie之后，后续向服务器发送请求时，会自动携带cookie

1.4 express 框架中设置cookie

// 导入expressconst express=require('express');// 创建应用对象const app =express();// 创建路由规则app.get('/set-cookie',(req,res)=>{// res.cookie('name','zhangsan'); // 会在浏览器关闭的时候销毁res.cookie('name','list',{maxAge:60*1000}) // max 最大 age 年龄res.send('home');});// 启动服务app.listen(3000);

1.5 express 框架中删除cookie

// 导入expressconst express=require('express');// 创建应用对象const app =express();// 创建路由规则app.get('/set-cookie',(req,res)=>{// res.cookie('name','zhangsan'); // 会在浏览器关闭的时候销毁res.cookie('name','list',{maxAge:60*1000}) // max 最大 age 年龄res.cookie('theme','blue');res.send('home');});// 删除cookieapp.get('/remove-cookie',(req,res)=>{// 调用方法res.clearCookie('name');res.send('删除成功');})// 启动服务app.listen(3000);

1.6 express 框架中获取cookie

使用cookie-parser包

// 导入expressconst express=require('express');// 导入包const cookieParser=require('cookie-parser')// 创建应用对象const app =express();app.use(cookieParser());// 创建路由规则app.get('/set-cookie',(req,res)=>{// res.cookie('name','zhangsan'); // 会在浏览器关闭的时候销毁res.cookie('name','list',{maxAge:60*1000}) // max 最大 age 年龄res.cookie('theme','blue');res.send('home');});// 获取cookieapp.get('/get-cookie',(req,res)=>{// 获取cookieconsole.log(req.cookies);res.send('获取cookie');})// 启动服务app.listen(3000);

二、session

2.1 session 是什么

session 是保存在服务器端的一块儿数据，保存当前访问用户的相关信息。

2.2 session 的作用

实现会话控制，可以识别用户的身份，快速获取当前用户的相关信息。

2.3 session 的运行流程

浏览器端填写账号和密码传给服务器校验身份，服务器校验通过后创建session信息，然后将session_id的值通过响应头返回给浏览器。浏览器有了cookie，下次发送请求时会自动携带cookie，服务器通过cookie中的session_id的值确定用户的身份。

2.4 session 和 cookie 的区别

（1）存在的位置
· cookie：浏览器端
· session：服务端

（2）安全性
· cookie是以明文的方式存放在客户端的，安全性相对较低
· session存放于服务器中，所以安全性相对较好

（3）网络传输质量
· cookie设置内容过多会增大报文体积，会影响传输效率
· session数据存储在服务器，只是通过cookie传递id，所以不影响传输效率

（4）存储限制
· 浏览器限制单个cookie保存的数据不能超过4k，且单个域名下的存储数量也有限制
· session 数据存储在服务器中，所以没有这些限制

三、token

3.1 token 是什么

token是服务端生成并返回给HTTP客户端的一串加密字符串，token中保存着用户信息

3.2 token 的作用

实现会话控制，可以识别用户的身份，主要用于移动端APP

3.3 token 的工作流程

填写账号和密码校验身份，校验通过后响应token，token一般是在响应体中返回给客户端的

后续发送请求时，需要手动将token添加在请求报文中，一般是放在请求头中，cookie为自动携带

3.4 token 的特点

（1）服务器端压力更小
——–数据存储在客户端

（2）相对更安全
——–数据加密
——–可以避免CSRF（跨站请求伪造）

（3）扩展性更强
——–服务间可以共享
——–增加服务节点更简单

3.5 JWT

JWT（JSON Web Token）是目前最流行的跨域认证解决方案，可用于基于token的身份验证
JWT使token的生成与校验更规范
我们可以使用JWT包来操作token，使用前先安装包：npm i jsonwebtoken

// 导入 jwtconst jwt=require('jsonwebtoken')// 1. 创建（生成）token// let token = jwt.sign(用户数据，加密字符串，配置对象);let token=jwt.sign({username:'zhangsan'},'aaaaaa',{expiresIn:60, // 单位是秒})console.log(token)let t='eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6InpoYW5nc2FuIiwiaWF0IjoxNjg2Nzk1ODA5LCJleHAiOjE2ODY3OTU4Njl9.KRZxCJFb9ry5vVL2w-n6tvqaG8JQrPqp8Ej0BwT6myM'// 校验 tokenjwt.verify(t,'aaaaaa',(err,data)=>{if(err){console.log('校验失败');return}console.log(data);})