express-session - 是否可以在节点应用程序运行时更改秘密？

Question

通常secret 在使用express-session 的节点应用程序中是硬编码的，例如 -

const session = require("express-session")
let RedisStore = require("connect-redis")(session)
const { createClient } = require("redis")
let redisClient = createClient({ legacyMode: true })
redisClient.connect().catch(console.error)
app.use(
  session({
    store: new RedisStore({ client: redisClient }),
    saveUninitialized: false,
    secret: "keyboard cat",
    resave: false,
  })
)

显然我可以通过编辑源代码和restarting 节点脚本来更改这个秘密keyboard cat。可以在应用程序仍在运行时更改它吗？

Answer 1

根据here 的指导方针，可以通过传递一组秘密而不是单个秘密来更改会话秘密，然后您可以secrets.unshift(newSecret) 将新秘密放入数组中的第一个位置，同时继续接受使用了数组中的其他秘密。

所以，在你的代码中，你会这样做：

const session = require("express-session")
let RedisStore = require("connect-redis")(session)
const { createClient } = require("redis")
let redisClient = createClient({ legacyMode: true })
redisClient.connect().catch(console.error);
const secrets = ["keyboard cat"];

app.use(
  session({
    store: new RedisStore({ client: redisClient }),
    saveUninitialized: false,
    secret: secrets,
    resave: false,
  })
);

然后，稍后在您的代码中，您可以像这样更新当前使用的密钥：

secrets.unshift("my new secreet");

会话中间件将始终使用数组开头的密钥用于新会话，但将继续接受使用数组中其他密钥的 cookie。

我的动机是我将大部分代码放在 github 上，并且我不喜欢硬编码任何密码或秘密。

如果这是您的动机，那么通常您会将会话保密部分作为某些配置/部署文件的一部分，该文件未检入 github 并单独管理。这与您放置服务器所需的数据库密码和其他凭据的配置文件类型相同。这样，当您的服务器启动时，它会从未存储在 github 中的本地配置文件中获取所需的凭据/秘密。

然后，您也不必尝试动态更改正在运行的会话中间件密码。

---

既然您提到了 Heroku，以下是 Heroku 提到的用于管理配置变量的技术：

https://devcenter.heroku.com/articles/config-vars