Node.js中的Session，不要觉得简单哦。

本文版权归作者和博客园共有，欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文连接，博客地址为http://www.cnblogs.com/jasonnode/ 。学习网站上有对应每一小节的在线练习大家可以去试试。

Cookie

在web应用中，多个请求之间共享“用户会话”是非常必要的。但HTTP1.0协议是无状态的。那这时Cookie就出现了。那Cookie又是如何处理的呢？

Cookie的处理：

服务端向客户端发送Cookie 客户端的浏览器把Cookie保存然后在每次请求浏览器都会将Cookie发送到服务端在HTML文档被发送之前，Web服务器通过传送HTTP 包头中的Set-Cookie 消息把一个cookie 发送到用户的浏览器中，如下示例：

Set-Cookie: name=value; Path=/; expires=Wednesday, -Nov- :: GMT;

其中比较重要的属性：

name=value：键值对，可以设置要保存的 Key/Value，注意这里的 name 不能和其他属性项的名字一样
Expires：过期时间（秒），在设置的某个时间点后该 Cookie 就会失效，如 expires=Wednesday, 09-Nov-99 23:12:40 GMT
maxAge：最大失效时间（毫秒），设置在多少后失效
secure：当 secure 值为 true 时，cookie 在 HTTP 中是无效，在 HTTPS 中才有效
Path：表示 cookie 影响到的路，如 path=/。如果路径不能匹配时，浏览器则不发送这个Cookie
httpOnly：是微软对COOKIE做的扩展。如果在COOKIE中设置了“httpOnly”属性，则通过程序（JS脚本、applet等）将无法读取到COOKIE信息，防止XSS攻击产生

Node.js中的Cookie

node.js是如何想客户端发送cookie的呢？有两个中方案：

使用response.writeHead，代码如下：

//设置过期时间为一分钟

var today = new Date();

var time = today.getTime() + *;

var time2 = new Date(time);

var timeObj = time2.toGMTString();

response.writeHead({

   'Set-Cookie':'myCookie="type=ninja", "language=javascript";path="/";

   Expires='+timeObj+';httpOnly=true'

});

缺点：使用response.writeHead只能发送一次头部，即只能调用一次，且不能与response.render共存，否则会报错。

使用response.cookie，代码示例如下：

response.cookie('haha', 'name1=value1&name2=value2', {

maxAge:*, path:'/', httpOnly:true

});

语法: response.cookie('cookieName’, 'name=value[name=value…]',[options]);

options 每个字段的意思在上文中都讲解了，这里不再重复阐述了。

Cookie的简单使用

express 在 4.x 版本之后，管理session和cookies等许多模块都不再直接包含在express中， `而是需要单独下载安装相应模块。

cookieParser安装：

$ npm install cookie-parser

使用方法:

var express      = require('express');

var cookieParser = require('cookie-parser');

var app = express();

app.use(cookieParser());

app.get('/', function (req, res) {

    // 检查 session 中的 isVisit 字段是否存在

    // 如果存在则增加一次，否则为 session 设置 isVisit 字段，并初始化为 1。

    if (req.cookie.isVisit) {

        req.cookie.isVisit++;

        res.send('<p>第 ' + req.cookie.isVisit + '次来此页面</p>');

    } else {

        req.cookie.isVisit = ;

        res.send("欢迎第一次来这里");

        console.log("Cookies: ", req.cookies); //打印cookie

    }

});

app.listen();

什么是Session？

session是另一种记录客户状态的机制，不同的是Cookie保存在客户端浏览器中，而session保存在服务器上。

客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上，这就是session。客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了。

如果说Cookie机制是通过检查客户身上的“通行证”来确定客户身份的话，那么session机制就是通过检查服务器上的“客户明细表”来确认客户身份。

session相当于程序在服务器上建立的一份客户档案，客户来访的时候只需要查询客户档案表就可以了。

两者的区别：

cookie数据存放在客户的浏览器上，session数据放在服务器上。
cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗考虑到安全应当使用session。
session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能考虑到减轻服务器性能方面，应当使用COOKIE。
单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。

所以建议：将登陆信息等重要信息存放为session、其他信息如果需要保留，可以放在cookie中

Session的简单应用

跟cookie一样都需要单独的安装和引用模块，安装模块：$sudo npm install express-session 主要的方法就是 session(options)，其中 options 中包含可选参数，主要有：

name: 设置 cookie 中，保存 session 的字段名称，默认为 connect.sid 。
store: session 的存储方式，默认存放在内存中，也可以使用 redis，mongodb 等。express 生态中都有相应模块的支持。
secret: 通过设置的 secret 字符串，来计算 hash 值并放在 cookie 中，使产生的 signedCookie 防篡改。
cookie: 设置存放 session id 的 cookie 的相关选项，默认为 (default: { path: '/’, httpOnly: true, secure: false, maxAge: null })
genid: 产生一个新的 session_id 时，所使用的函数，默认使用 uid2 这个 npm 包。
rolling: 每个请求都重新设置一个 cookie，默认为 false。
resave: 即使 session 没有被修改，也保存 session 值，默认为 true。

示例：

var express = require('express');

var session = resuire('session');

var app = exoress();

app.user(session({

    secret: 'hubwiz app', //secret的值建议使用随机字符串

    cookie: {maxAge:  *  * } // 过期时间（毫秒）

}));

app.get('/', function (req, res) {

    if (req.session.sign) {//检查用户是否已经登录

        console.log(req.session);//打印session的值

        res.send('welecome <strong>' + req.session.name + '</strong>, 欢迎你再次登录');

    } else {//否则展示index页面

        req.session.sign = true;

        req.session.name = '汇智网'；

        res.end('欢迎登陆！');

    }

});

app.listen();