在现代 Web 应用中，API 是很常见的，而且通常是被公开访问的。如果没有适当的措施，API 调用很容易被攻击者利用。因此，我们需要一种机制来确保只有合法用户才能访问 API。
本文将介绍如何使用 Koa2 中的 Session 实现 API 访问的安全控制。
Session 是什么？
Session 是指网站会话，它是在服务器端存储用户信息的一种机制。当用户第一次访问网站时，服务器会为用户创建一个唯一的 Session ID。服务器会将此 ID 发送给浏览器，浏览器使用 Cookie 存储该 ID。当用户再次访问时，浏览器会自动将该 ID 发送给服务器，服务器就可以根据该 ID 找到相关的用户数据。
在 Koa2 中实现 Session
首先，安装 koa-session：
npm install koa-session
然后在 Koa2 的代码中引入：
const Koa = require('koa');
const session = require('koa-session');
const app = new Koa();
// 使用 Session
app.keys = ['some secret hurr'];
app.use(session(app));这样，我们就可以通过 Session 对象存储用户信息了。例如，我们可以在路由中检查用户是否登录：
-- -------------------- ---- -------
----- --------- - ----------------------
----- ------ - --- ------------
--------------- ----- ----- -- -
----- ---- - -----------------
-- ------- -
-------- - -------
- ---- -
-------- - --- - - ----------
-
---防止 API 调用被攻击
API 调用通常是通过 Ajax 等方式进行的，因此我们需要确保 API 调用来自于合法的来源。可以通过设置 HTTP 头“Referer”或者“Origin”来实现。
在 Koa2 中，可以使用中间件进行请求验证，例如：
-- -------------------- ---- -------
------------- ----- ----- -- -
-- -- ------- - ------
-- --------------------------- --- ------ --
------------------------- --- ------- -
---------- - ----
-------- - ---------------
-------
-
-- ------
----- -------
---完整示例代码
-- -------------------- ---- -------
----- --- - ---------------
----- --------- - ----------------------
----- ------- - -----------------------
----- --- - --- ------
----- ------ - --- ------------
-- -- -------
-------- - ------ ------ -------
----------------------
-- ----
------------- ----- ----- -- -
-- -- ------- - ------
-- --------------------------- --- --------------------- --
------------------------- --- ---------------------- -
---------- - ----
-------- - ---------------
-------
-
-- ------
----- -------
---
-- ----
--------------------- ----- ----- -- -
----- - --------- -------- - - -----------------
-- --------
-- --------- --- ------- -- -------- --- --------- -
-- ----
---------------- - - ----- ------- --
-------- - -------
- ---- -
-- ----
-------- - -----------
-
---
-- ----
------------------- ----- ----- -- -
----- ---- - -----------------
-- ------- -
-- -----
-------- - -------
- ---- -
-- ----
-------- - - ----- -------- --
-
---
-------------------------
---------------- -- -- -
------------------- ------- -- ------------------------
---总结
本文介绍了在 Koa2 中如何使用 Session 实现 API 访问的安全控制。我们可以使用 Session 对象存储用户信息，并在路由中进行验证。通过中间件验证请求的来源，可以有效避免 API 调用被攻击。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/65a002c5add4f0e0ff8772e2