express-session-mongo 与自己滚动的优势

Question

我是 nodejs/mongo 的新手，所以我最终推出了自己的会话中间件，因为我不知道 express-session-mongo。

在我的中间件中，我将用户 ID 存储在会话中（通过 express 的会话中间件），然后在每个请求上加载登录的用户对象。我还允许用户将他们的用户/通行证存储在 httpOnly cookie 中以实现“记住我”功能。

该 npm 的文档页面还有一些不足之处。

我的问题是：那个模块和我写的相比有什么优势？我在做傻事吗？他们做的比我做的好在哪里？

Answer 1

您的技术非常不安全。如果我只需要知道数据库中用户记录的 ID，并且我可以在会话 cookie 中使用它来成为任意用户，那么这是一个巨大的漏洞。会话 ID 应该是伪随机令牌，它们本身不包含任何数据。它们只是用于在服务器端查找数据的不可猜测的数字。对于每个会话，它们还应该是唯一的，而用户 ID 则不是。