身份认证、web开发模式

web开发模式

服务器端渲染——前后端不分离
优点：前端耗时少、有利于SEO
缺点：占用服务器资源、开发效率低，不利于前后端分离

前后端分离
优点：开发体验好、用户体验好、减轻了服务器端的渲染压力
缺点：不利于SEO

选择主要看业务场景，现在基本都是前后端分离的模式

身份认证

概念：又称“身份验证”、“鉴权”，指通过一定手段，完成对用户身份的确认

身份认证的解决方案一般有两种：服务器端渲染Session认证机制；前后端分离用JWT认证机制；

需要身份认证的原因：
HTTP协议的无状态性：每次HTTP请求都是独立的，连续多个请求之间没有直接的关系，服务器不会主动保留每次HTTP请求的状态

Cookie

cookie是一段存储在客户端的不超过4kb的字符串；
它的特点是：自动发送、域名独立（不同的域名单独保存自身的cookie信息）、有过期时限、大小不超过4kb；

使用cookie进行身份验证的流程
1.用户登录
2.服务器通过响应头，将cookie写入浏览器，cookie中存有用户相关信息
3.用户下次请求，自动携带cookie
4.服务器从cookie中提取用户相关信息，进行认证

cookie身份验证的问题
不安全、不能再cookie中存储敏感信息（密码之类的，容易被盗取）

session

session是服务器端用来存储用户信息的一种机制
特点：比较安全、依赖于cookie

session身份认证流程
1.用户登录
2.服务器再session中保存用户信息，然后将sessionID以cookie形式写入浏览器
3.用户下次请求，自动携带cookie
4.服务器从cookie中提取到sessionID，然后从session中查询，进行验证

cookie和session对比
cookie存储在浏览器，session存储在服务器
session相比于单独使用cookie携带信息更安全

session认证示例

// 导入 express 模块
const express = require('express')
// 创建 express 的服务器实例
const app = express()
// 使用npm安装express-session  ——  npm i express-session
// 配置express-session中间件
const session = require('express-session')
app.use(session({
 secret: 'itheima',
 resave: false,
 saveUninitialized: true,
 }))
 // 托管静态页面
app.use(express.static('./pages'))
// 解析 POST 提交过来的表单数据
app.use(express.urlencoded({ extended: false }))

// 登录的 API 接口
app.post('/api/login', (req, res) => {
  // 判断用户提交的登录信息是否正确
  if (req.body.username !== 'admin' || req.body.password !== '000000') {
    return res.send({ status: 1, msg: '登录失败' })
  }

  // TODO_02：请将登录成功后的用户信息，保存到 Session 中
  // 注意：只有成功配置了 express-session 这个中间件之后，才能够通过 req 点出来 session 这个属性
  req.session.user = req.body // 用户的信息
  req.session.islogin = true // 用户的登录状态

  res.send({ status: 0, msg: '登录成功' })
})

// 获取用户姓名的接口
app.get('/api/username', (req, res) => {
  // TODO_03：请从 Session 中获取用户的名称，响应给客户端
  if (!req.session.islogin) {
    return res.send({ status: 1, msg: 'fail' })
  }
  res.send({
    status: 0,
    msg: 'success',
    username: req.session.user.username,
  })
})

// 退出登录的接口
app.post('/api/logout', (req, res) => {
  // TODO_04：清空 Session 信息
  req.session.destroy()
  res.send({
    status: 0,
    msg: '退出登录成功',
  })
})

// 调用 app.listen 方法，指定端口号并启动web服务器
app.listen(80, function () {
  console.log('Express server running at http://127.0.0.1:80')
})

JWT认证

JWT相关概念
JWT相对于Session的优势：
前端需要跨域请求后端接口的时候，不推荐使用session，session解决跨域问题比较麻烦，推荐使用JWT认证；JWT是目前最流行的跨域认证解决方案；

JWT的工作流程

JWT的组成部分：header 头部、payload 有效荷载、signature 签名（Header.Payload.Signature）;
payload用来保存用户信息、header保存配置信息、signature签名信息，保证安全；

JWT安装
npm i jsonwebtoken express-jwt
jsonwebtoken用来生成jwt字符串；express-jwt用来将jwt字符串解析还原成json对象

生成jwt字符串：jwt.sign(用户信息对象，密钥，有效期)
jwt.sign({ username: userinfo.username }, secretKey, { expiresIn: '30s' })
解析jwt字符串：app.use(expressJWT({ secret: secretKey }).unless({ path: [/^\/api\//] }))
unless()方法用来排除不需要进行认证的接口；

jwt字符串的解析过程：
1.提取Authorization请求头中的token信息
2.对token进行解析，提取用户相关信息
3.将用户信息挂载到req.user上，供下游的中间件和路由使用
4.如果解析失败，会抛出异常，由错误中间件进行捕获

// TODO_06：使用全局错误处理中间件，捕获解析 JWT 失败后产生的错误
app.use((err, req, res, next) => {
 // 这次错误是由 token 解析失败导致的
 if (err.name === 'UnauthorizedError') {
 return res.send({
 status: 401,
 message: '无效的token',
 })
 }
 res.send({
 status: 500,
 message: '未知的错误',
 })
})