如何处理和验证后端和前端之间的会话

Question

我已经为用户注册和登录创建了一个后端，我不知道后端是如何处理和验证会话的。

我阅读了一些关于如何生成会话令牌的文章，但我不知道如何验证该令牌一旦发送到服务器端询问一些信息

这就是我所做的，将会话存储在每个用户的后端，然后使用手工制作的中间件询问是否为该用户创建了这个会话，我知道这是低效的

router.post("/createUser",(req,res)=>{
    const {Name, Email , Phone , Password, UserName} = req.body
    console.log(Email,Phone,Password)
    if(Name && Email && Phone && Password){
        const user = new UserModel({Name,Email,Phone,Password,UserName})
        user.save((e)=>e? console.log(e): console.log("success"))
        const Session = new SessionModel({userID:user._id,session:req.sessionID})
        Session.save()
        res.status(201).send(req.sessionID)
    }else{
        res.status(500).send()
    }
})

这就是我验证请求的方式

router.use("/profile",(req, res , next)=>{
    const {SessionID , UserID} = req.query

    SessionModel.findOne({userID:UserID},(err,session)=>{
        if(session.session === SessionID){
            next()
        }else{
            return res.status(500).send()
        }
    })})


router.get("/profile",(req,res)=>{
    res.send("works")
})

Answer 1

您在重复一些事情：express-sessions 已经为您管理会话，将这些会话复制到数据库中是没有意义的（如果您必须扩展到一台服务器之外，express-sessions 可以为您做到这一点）。

实际上，您可以将用户 ID 存储在会话中，然后检查会话中是否存在用户 ID 以验证请求。如果您需要访问用户数据，您可以根据 id 查找用户。

 router.post("/createUser",(req,res) => {
   // ...
   req.session.userID = user._id;
   //...
 });

 router.use((req, res, next) => {
   if(!req.session.userID)
     return res.status(403).send("not logged in");
  next();
 });

 // all routes are secured beyond this point

强制说明：永远不要在您的数据库中存储纯文本密码（也不要像 Facebook ;)）。至少对它们进行哈希处理，如果您想正确地使用每个用户的盐对它们进行哈希处理。