Web身份认证——【 Session认证】

关注

原创最新推荐文章于 2026-09-21 12:16:04 发布 2.9k 阅读 AI 写同款· GEO 优化 ›

常用的认证机制之session认证和token认证一、session认证 1、session认证的过程：前端输入用户名和密码进行登录操作，后端拿到用户名和密码后，会把md5进行加密，加密之后，拿上加密后的密文到用户表中查找密文是否一致，判断用户是否存在，如果用户存在，则认证通过；认证成功后后端会生成session_id（后端会话当中的一个键，表中的一个key值），将session_id默认保存在会话表，当这条数据一旦记录完之后，会将session_key数据作为session_id放到响应头的set-cookie字段中；浏览器接下来的操作为：将响应头中阅读详情

Web身份认证——【 Session认证】

今日学习目标：

Web身份认证——【 Session认证】

1、Cookie回顾

在上一篇博文中，我们学习了第一种认证方式Cookie认证，同时也实现了用户的登录认证功能，但是能在最后我们也了解到了Cookie认证的缺点，就是Cookie保存在客户端浏览器中，可能存在Cookie拦击、篡改、伪造的风险，所有不支持大家将一些隐私的数据存储。

2、提高身份认证的安全

那么今天，我继续用商场收银员结账的例子来向大家讲解如何提高身份认证的安全性。

那么为了防止客户伪造会员卡，收银员在拿到客户出示的会员卡之后，可以在收银机上进行刷卡认证，只要收银机确认存在的会员卡，才能被打折或正常使用。简单来说就是想要打折，先必须要有会员卡，同时收银机上也要存在该用户会员卡的信息才能打折。

在这里插入图片描述

那么这种 “会员卡+刷卡认证” 双重认证的设计理念，就是Session认证机制的精髓所在。

3、session 认证

3.1 什么是session认证

session 是另一种记录用户登录状态的机制，不同点是 Cookie 保存在客户端浏览器中，而 session 保存在服务器中。

3.2 session 的用途

session 存储或者说运行在服务器端，当用户第一次访问服务器时，可以当客户的登录信息记录，当客户访问其他页面时，可以判断客户的登录状态，做出提示，相当于登录拦截或者验证。

3.3 session 的工作流程

当浏览器访问服务器，并发送第一次请求时，服务器端会创建一个session对象，并生成一个类似于{key：value}的键值对，将其记录或者保存在服务器的内存中，然后将key（键）返回到浏览器中，服务器自动保存Cookie。当浏览器下次再访问时，携带Cookie中的Key找到对应的session中的value，那么才算认证成功。

在这里插入图片描述

4、session在Node.js中的使用

4.1 安装 `express-session` 中间件

在express项目中，只需要安装express-session中间件，即可在项目中使用session认证。

npm i express-session

4.2 配置`express-sission`中间件

express-session中间件安装成功之后，需要通过app.use()来注册或者说配置express-session中间件。

// 导入 express-session 模块
const session = require("express-session");
// 配置session中间件
app.use(session({
    secret:"Inlett",//服务器端生成的session签名
    resave:false,// 不强制保存session，即使它并没有变化
    saveUninitialized:true, // 强制将未初始的session存储
    name:"hellow", //返回给客户端的Cookie名称
    cookie:{ //设置返回给客户端的Cookie字符串的属性
        maxAge:90000 //有效时间90000ms，cookie和session一样都是
    }
}));

4.4 向session中存储数据

当express-session中间件配置成功之后，即可通过req.session来访问和使用ssession对象，从而存储用户的基本信息。

app.post('/api/login', (req, res) => {
  // 判断用户提交的登录信息是否正确
  if (req.body.username !== 'admin' || req.body.password !== '000000') {
    return res.send({ status: 1, msg: '登录失败' })
  }
  // 向session对象中存储user(用户的信息)和islogin(用户的登录状态)属性
  req.session.user = req.body; // 用户的信息
  req.session.islogin = true; // 用户的登录状态

  res.send({ status: 0, msg: '登录成功' })
})

4.5 从 session 中获取数据

// 获取用户昵称的接口
app.get('/api/username', (req, res) => {
  // 如果session中存储的用户登录状态不为true或者为空
  if (!req.session.islogin) {
      // 那么先让其登录
     return res.send("请先登录！");
  }
  // 否则就是登录状态
  res.send(`<h1>欢迎${req.session.user}登录</h1>`);
})

4.6 清空 session 中的数据

调用req.session.destroy()函数，即可清空服务器中保存的所有session 数据。

![session属性](E:\后端\node.js\笔记\images\session属性.png)// 退出登录的接口
app.post('/api/logout', (req, res) => {
  // 清空 Session 信息
  req.session.destroy()
  res.send({
    status: 0,
    msg: '退出登录成功',
  })
})

5、配置 session 的属性说明

在这里插入图片描述

6、用户登录案例

const fs = require("fs");
const path = require("path");
const express = require("express");
const app = express();
const router = express.Router();
const session = require("express-session");

// 配置session中间件
app.use(session({
    secret: "inLettxinxi", //用来对session id相关的cookie进行签名
    resave: false, // 是否每次都重新保存会话，建议false
    saveUninitialized: true, //// 是否自动保存未初始化的会话，建议false
    name: "nihao",
    cookie: {
        maxAge: 20000
    }
}));

app.use(express.urlencoded({ extended: false }));


router.get("/", (req, res) => {
    fs.readFile(path.join(__dirname, "../client/login.html"), "utf8", (err, data) => {
        res.send(data);
    });
});

// 用户第一次登录
router.post("/login", (req, res) => {
    // 判断用户提供的登录信息
    if (req.body.uid !== "10000" || req.body.pwd !== "admin") {
        return res.send("登录失败！");
    }
    req.session.user = req.body.uid;
    req.session.islogin = true;
    res.send("成功！");
});

// 当客户端再次访问的时候
router.get("/index", (req, res) => {
    console.log(!req.session.islogin);
    if (!req.session.islogin) {
        return res.send("请先登录！");
    }
    res.send(`<h1>欢迎${req.session.user}登录</h1>`);
});

router.post("/logout", (req, res) => {
    req.session.destroy();
    res.send({
        status: 0,
        msg: "退出登录成功！"
    });
});
app.use(router);

app.listen(8081, "192.168.124.15", () => {
    console.log("服务器开启成功！");
});