node.js -- 身份認證

来源:https://www.cnblogs.com/heymar/archive/2022/04/17/16154830.html
-Advertisement-
Play Games

請問昨天結束的早是對堆積在了今天嗎，今天還來加個班更博，看在這個毅力的份上能否給億點點推薦。 有個好消息有個壞消息，先說壞消息吧，就是在這麼學下去我急需急支糖漿，來回顧回顧前面的知識，這幾天學的太急了，搞得有點推著走的意思，好消息就是今天的內容是最後最後node的基礎內容了，果然天不負我，整完然後有 ...


請問昨天結束的早是對堆積在了今天嗎，今天還來加個班更博，看在這個毅力的份上能否給億點點推薦。

有個好消息有個壞消息，先說壞消息吧，就是在這麼學下去我急需急支糖漿，來回顧回顧前面的知識，這幾天學的太急了，搞得有點推著走的意思，好消息就是今天的內容是最後最後node的基礎內容了，果然天不負我，整完然後有兩個大案例，做完我就從上次複習那裡開始一直複習過來，然後全部不欠賬，就昂首挺胸的走進vue了，等等，這個學完可以進去了吧。

1.

今天的第一個內容說一下web開發模式，今天基本就是講一個身份認證的內容，我們的web開發模式呢分為兩種，一種是伺服器渲染模式，就是通過伺服器進行一個字元串拼接，將html頁面拼接出來，然後直接返回給客戶端，這樣一來就不需要我們的ajax了，直接給客戶端就可以了，他的優點呢就是前端耗時少，畢竟都給伺服器做了還有前端什麼事，還有他也有利於seo優化，他的缺點就是占用伺服器資源，而且不利於前後端分離開發效率低。

第二個模式：前後端分離的模式，它是依賴於ajax的一個廣泛應用，後端負責編寫api介面，前端就負責調用介面就完事了。他的一個優點就是開發體驗好、畢竟前後端分離，用戶體驗也好，也減輕了伺服器的壓力。

但是缺點就是不利於seo的優化。

2

然後我們進入身份認證、

什麼事身份認證？

通過一定的手段對用戶身份進行確認的方式。

伺服器渲染開發用的就是session認證，而我們的前後端分離用的就是jwt認證，兩者都各有各的優點誰也不讓誰。

3.

先來說下session吧

首先瞭解一下http無狀態性，就是指客戶端每次的http請求都是獨立的，連續多個請求間沒有直接關係，伺服器也不會主動保留每次http請求狀態（就像收銀員他能記住每個來的客戶是會員嗎？）

突破無狀態限制。

超市突破這種限制的方式就是給每個會員發會員卡是吧，在我們web領域這種方式就是cookie。

cookie，是存儲在用戶瀏覽器一段不超過4kb的字元串，它是由name、value以及有效期。安全性，適用範圍的可選屬性組成，在不同的功能變數名稱下，我們的cookie是各自獨立的，每當客戶端發起請求，會自動把當前功能變數名稱下的所有cookie發給伺服器，註意只是當前功能變數名稱下。

他的特性就是：自動發送、功能變數名稱獨立、過期時限、4kb限制

3.1

cookie在身份認證中的作用

當我們客戶端第一次請求伺服器的時候，伺服器會通過響應頭向客戶端發送一個身份認證的cookie，我們的瀏覽器就會把這個cookie存儲起來，當我們下一次 請求的時候，就會直接發送這個cookie也就是前面說的會自動發送，即可證明身份。

要註意我們的cookie是不具有安全性的，瀏覽器還提供了讀寫cookie的api，所以cookie很容易被偽造，就像我們的會員卡也有偽造的一樣。所以不要用cookie存儲重要數據，包括我們jwt也不能存後面會說到。

3.2

那麼有沒有方法來提高我們cookie的安全性呢？

那就是session認證，就好比我們的會員卡➕刷卡的機制就能破除偽造卡了。

session認證機制：

首先我們的客戶端登錄賬號密碼發送了登錄請求，伺服器會開始驗證，當驗證成功後，會將其存儲在伺服器的記憶體中，同時通過響應頭返回一個對應的cookie字元串，我們的瀏覽器就會把這個字元串保存在當前功能變數名稱下，當我們再次請求的時候，就會把功能變數名稱下所有cookie一起發送伺服器，伺服器就會去找對只對應的cookie匹配成功就能找到你信息了，然後就認證成功了

3.3

說了這麼多怎麼來再伺服器端使用我們的sesson，首先安裝導入兩部曲然後還需要配置，註意配置是固定寫法，secret是可以為任意字元串的。

配置過後就可以用req.session來訪問session對象了，將我們的一些數據用sessin存儲起來，然後登陸成功又可以通過session取出來，當我們退出登錄還可以。destroy方法清空session，註意只是清空這個賬戶信息，不會清空別人的信息，具體代碼如下：

註意看todo也就是我們要做的

// 導入 express 模塊
const express = require('express')
// 創建 express 的伺服器實例
const app = express()

// TODO_01：請配置 Session 中間件
const session = require('express-session')
app.use(session({
  secret : 'mySession',
  resave : 'false',
  saveUninitiallized: 'ture'
}))

// 托管靜態頁面
app.use(express.static('./pages'))
// 解析 POST 提交過來的表單數據
app.use(express.urlencoded({ extended: false }))

// 登錄的 API 介面
app.post('/api/login', (req, res) => {
  // 判斷用戶提交的登錄信息是否正確
  if (req.body.username !== 'admin' || req.body.password !== '000000') {
    return res.send({ status: 1, msg: '登錄失敗' })
  }

  // TODO_02：請將登錄成功後的用戶信息，保存到 Session 中
  // 註意只有當上面配置了session之後才能夠使用req.session這個對象
  req.session.user = req.body // 用戶信息
  req.session.islogin = true // 用戶的登錄狀態


  res.send({ status: 0, msg: '登錄成功' })
})

// 獲取用戶姓名的介面
app.get('/api/username', (req, res) => {
  // TODO_03：請從 Session 中獲取用戶的名稱，響應給客戶端
  // 判斷是否登錄成功
  if(!req.session.islogin) {
    return res.send({status:1, msg:'fail'})
  }
  // 登錄成功即可響應數據
  return res.send({
    status : 0,
    msg : 'success',
    username : [req.session.user.username]
  })
})

// 退出登錄的介面
app.post('/api/logout', (req, res) => {
  // TODO_04：清空 Session 信息
  req.session.destroy()
  res.send({
    status : 0,
    msg : '退出登錄成功'
  })
})

// 調用 app.listen 方法，指定埠號並啟動web伺服器
app.listen(80, function () {
  console.log('Express server running at http://127.0.0.1:80')
})

3.

這就是session，然後我們看到下一個認證機制jwt，session需要cookie才能夠實現是吧，但我們的cookie有一個致命問題，不支持跨域，如果涉及到跨域需要配置很大一堆步驟。

JWT目前最流行跨域認證解決方案。

實現原理：首先還是客戶端發起一個請求頭髮送賬號密碼，伺服器驗證，驗證成功後會經過加密生辰一個token字元串然後會給你返回一個token字元串，我們拿到這個token字元串會將其存儲在localstorage或者sessionStorage中，當我們再次請求就會通過一個authorization的請求頭將token發送給伺服器，伺服器拿到token就會將他還原成用戶的信息對象，然後身份也就認證成功了。

JWT的組成部分是有三部分組成：header。patyload。signature，這個。只是分割作用，我們的真正信息重在中間的payload前後兩個只是保證token的安全性。

怎麼在express中來使用我們的token？

需要安裝兩個包，還需要定義密匙是自己自定義的

第四步生成JWT字元串的時候在sign這個方法裡面，這個配置有效期是token在規定期限之內能夠拿來驗證的期限；

第五步將jwt轉換為json這個語句當中，unless這個語句的意思是不需要身份驗證的介面

配置完第五步轉換為json文件後我們就可以用req.user來獲取信息了，而這個信息就是我們第四步把什麼轉換為jwt字元串的信息，

最後當我們的token過期或者不合法就會出現錯誤，這個時候要需要一個錯誤中間件

// 導入 express 模塊
const express = require('express')
// 創建 express 的伺服器實例
const app = express()

// TODO_01：安裝並導入 JWT 相關的兩個包，分別是 jsonwebtoken 和 express-jwt
const jwt = require('jsonwebtoken')
const expressJwt = require('express-jwt')
// 允許跨域資源共用
const cors = require('cors')
app.use(cors())

// 解析 post 表單數據的中間件
const bodyParser = require('body-parser')
const { UnauthorizedError } = require('express-jwt')
const { response } = require('express')
app.use(bodyParser.urlencoded({ extended: false }))

// TODO_02：定義 secret 密鑰，建議將密鑰命名為 secretKey
const secretKey = 'hard hard study day day up'
// TODO_04：註冊將 JWT 字元串解析還原成 JSON 對象的中間件
app.use(expressJwt({secret : secretKey, algorithms : ['HS256']}).unless({path : [/^\/api\//]}))
// 登錄介面
app.post('/api/login', function (req, res) {
  // 將 req.body 請求體中的數據，轉存為 userinfo 常量
  const userinfo = req.body
  // 登錄失敗
  if (userinfo.username !== 'admin' || userinfo.password !== '000000') {
    return res.send({
      status: 400,
      message: '登錄失敗！'
    })
  }
  // 登錄成功
  // TODO_03：在登錄成功之後，調用 jwt.sign() 方法生成 JWT 字元串。並通過 token 屬性發送給客戶端
  // 轉化成token加密文件
  const tokenStr = jwt.sign({username : userinfo.username, algorithms : ['HS256']}, secretKey, {expiresIn : '1h'})
  res.send({
    status: 200,
    message: '登錄成功！',
    token: tokenStr // 要發送給客戶端的 token 字元串
  })
})

// 這是一個有許可權的 API 介面
app.get('/admin/getinfo', function (req, res) {
  // TODO_05：使用 req.user 獲取用戶信息，並使用 data 屬性將用戶信息發送給客戶端
  
  res.send({
    status: 200,
    message: '獲取用戶信息成功！',
    data: {username : req.user} // 要發送給客戶端的用戶信息
  })
})

// TODO_06：使用全局錯誤處理中間件，捕獲解析 JWT 失敗後產生的錯誤
app.use((err, req, res, next) => {
  if (err.name === 'UnauthorizedError') {
    // 這次錯誤是由token解析失敗導致的
    return res.send({status : 401, msg : '無效的token'})
  }else {
    // 其他錯誤
    return res.send({status: 500, msg : '未知的錯誤'})
  }
})
// 調用 app.listen 方法，指定埠號並啟動web伺服器
app.listen(8888, function () {
  console.log('Express server running at http://127.0.0.1:8888')
})

然後後面會有兩個項目，會把之前所學的node綜合起來，我到時候單獨開個博來說一下吧，還是有一些註意事項的

 


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 5. 堪比JMeter的.Net壓測工具 - Crank 實戰篇 - 介面以及場景壓測
    1. 前言 通過之前的學習，我們已經掌握了crank的配置以及對應http基準工具bombardier、wrk、wrk2的用法，本篇文章介紹一下如何將其用於實戰，在實際的項目中我們如何使用crank來完成壓測任務。 2. 項目背景 目前有一個項目，我們希望通過壓測來瞭解其QPS、吞吐量、以及臨界值， ...
  • C# 調用印表機印表機pdf
    RTF文檔即富文本格式（Rich Text Format）的文檔。我們在處理文件時，遇到需要對文檔格式進行轉換時，可以將RTF轉為其他格式，如轉為DOCX/DOC、PDF或者HTML，以滿足程式設計需要。網上有開發者提供了可實現RTF轉為HTML格式的方法，但是方法可能不一定適用於所有程式，比如可能 ...
  • CSAPP:lab7 shell
    實驗網站 課程網站：CSAPP 源碼下載 源碼下載 實驗文檔下載 我的實驗環境:Ubuntu 20.04 lab7文檔解讀 ​ 查看 tsh.c (tiny shell) 文件，您會看到它包含一個簡單的 Unix shell 的功能骨架。為了幫助您入門，我們已經實現了不太有趣的功能。你的任務是完成下 ...
  • 2022-A rch安裝（詳細）
    官方wiki：https://wiki.archlinux.org/ 基礎安裝 一：製作安裝介質 下載ISO鏡像文件： https://archlinux.org/download/ # 官方下載網址 在linux系統中可以用pgp驗證系統簽名： gpg --keyserver-options au ...
  • MySQL 視圖簡介
    概述 資料庫中關於數據的查詢有時非常複雜，例如表連接、子查詢等，這種查詢編寫難度大，很容易出錯。另外，在具體操作表時，有時候要求只能操作部分欄位。 為了提高複雜 SQL 語句的復用性和表的操作的安全性，MySQL 提供了視圖特性。所謂視圖，本質上是一種虛擬表，同樣包含一系列帶有名稱的列和行數據。行和 ...
  • MySQL 資料庫中的數據類型
    整數類型 標準 SQL 中支持 INTEGER 和 SMALLINT 這兩種類型，MySQL 資料庫除了支持這兩種類型以外，還擴展支持了 TINYINT、MEDIUMINT 和 BIGINT 整數類型 位元組數 無符號數的取值範圍 有符號數的取值範圍 TINYINT 1 (0，255) (-128，1 ...
  • 大數據Hadoop之——Spark集群部署（Standalone）
    一、Spark概述 Spark基礎概念和原理講解可以參考我上篇博文：大數據Hadoop之——計算引擎Spark 二、Spark的運行模式 1）Standalone（本章講解） 獨立模式，自己獨立一套集群(master/client/slave)，Spark 原生的簡單集群管理器， 自帶完整的服務， ...
  • HMS Core Discovery第14期直播預告~縱享絲滑剪輯，釋放視頻創作力
    【導讀】 拍攝、導入、特效、卡點、BGM…幾步簡單的操作，我們便可將生活的瞬間用視頻記錄與分享。應用前沿AI技術，提供一站式視頻處理能力，幫助開發者們構建更智能、更易用、更專業的視頻剪輯軟體，打造視頻趣味新玩法。 HMS Core Discovery第14期直播將在2022年4月21日19:00開播 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類