在 Web 应用程序中，Cookie 和 Session 是两项非常重要的技术。它们可以用于在客户端和服务器之间存储数据，同时还能实现用户身份验证和状态管理等功能。在 Express.js 中，我们可以使用 Cookie 和 Session 中间件来实现这些功能。本文将介绍如何在 Express.js 中使用 Cookie 和 Session，以及最佳实践。
什么是 Cookie？
Cookie 是存储在客户端的小型文本文件，用于存储用户数据。通过使用 Cookie，我们可以跟踪用户的浏览器会话，并在后续页面访问中使用保存的数据。
在 Express.js 中，我们可以使用 cookie-parser 中间件来解析和设置 Cookie。
安装 cookie-parser 中间件：
npm install cookie-parser
使用 cookie-parser：
const express = require('express'); const cookieParser = require('cookie-parser'); const app = express(); app.use(cookieParser());
使用 res.cookie() 方法设置 Cookie：
// 设置 Cookie res.cookie('username', 'john', { maxAge: 900000, httpOnly: true });
使用 req.cookies 对象来访问 Cookie：
// 获取 Cookie const username = req.cookies.username;
什么是 Session？
Session 是存储在服务器端的数据对象，用于存储关于用户的信息。通过使用 Session，我们可以跟踪用户的整个会话期间的信息，包括用户身份验证和用户状态等。
在 Express.js 中，我们可以使用 express-session 中间件来实现 Session 功能。
安装 express-session 中间件：
npm install express-session
使用 express-session：
-- -------------------- ---- ------- ----- ------- - ------------------- ----- ------- - --------------------------- ----- --- - ---------- ----------------- ------- ---------------- ------- ------ ------------------ ----- ----展开代码
使用 req.session 对象来访问 Session：
// 获取 Session const userId = req.session.userId; // 设置 Session req.session.userId = userId;
最佳实践
在使用 Cookie 和 Session 时，我们需要注意一些最佳实践，以确保应用程序的安全性和性能。下面是一些常见的最佳实践：
1. 使用签名的 Cookie
为了增强 Cookie 的安全性，我们应该使用签名的 Cookie。这可以通过在 cookie-parser 中间件中设置 secret 选项实现，如下所示：
app.use(cookieParser('my-secret-key'));
然后，我们可以通过在 res.cookie() 中设置 signed 选项来创建签名的 Cookie，如下所示：
res.cookie('username', 'john', { signed: true });
要访问签名的 Cookie，我们可以使用 req.signedCookies 对象，如下所示：
const username = req.signedCookies.username;
2. 设置 Cookie 和 Session 的过期时间
为了避免意外泄露用户数据，我们应该设置 Cookie 和 Session 的过期时间。这可以通过在 res.cookie() 和 express-session 中间件中设置 maxAge 选项实现：
-- -------------------- ---- ------- -- -- ------ ----- - -- ---------------------- ------- - ------- ------- --- -- -- ------- ----- -- -- ----------------- ------- ---------------- ------- ------ ------------------ ----- ------- - ------- ------- -- ----展开代码
3. 仅使用 HTTPS 协议传输 Cookie
为了保护 Cookie 的安全性，我们应该仅使用 HTTPS 协议传输信息。这可以通过在 res.cookie() 中设置 secure 选项实现：
res.cookie('username', 'john', { secure: true });
4. 避免过度使用 Session
Session 数据存储在服务器端，因此过度使用 Session 可能导致服务器压力过大。为了避免这种情况，我们应该尽可能地避免在会话中存储过多的数据。如果可能的话，可以使用 Cookie 来替代 Session。
5. 删除 Cookie 和 Session
当用户退出应用程序或进行某些操作时，我们应该及时删除 Cookie 和 Session。这可以通过在 res.clearCookie() 和 req.session.destroy() 中实现：
// 删除 Cookie res.clearCookie('username'); // 删除 Session req.session.destroy();
示例代码
下面是一个完整的示例代码，演示了如何在 Express.js 中设置 Cookie 和 Session，并遵循最佳实践。
-- -------------------- ---- ------- ----- ------- - ------------------- ----- ------------ - ------------------------- ----- ------- - --------------------------- ----- --- - ---------- --------------------------------------- ----------------- ------- ---------------- ------- ------ ------------------ ----- ------- - ------- ------- -- ---- ------------ ----- ---- -- - -- -- ------ ---------------------- ------- - ------- -------- ------- ----- ------- ----- --- -- -- ------- ------------------ - ----- --------------- --------- --- ------------------ ----- ---- -- - -- -- ------ ---------------------------- -- -- ------- ---------------------- ---------------- ------- --- ---------------- -- -- - ------------------- --------- -- ---- ------- ---展开代码
结论
在本文中，我们介绍了如何在 Express.js 中使用 Cookie 和 Session，并遵循最佳实践。通过遵循这些最佳实践，我们可以提高应用程序的安全性和性能，同时还能实现用户身份验证和状态管理等功能。如果您正在开发 Web 应用程序，那么 Cookie 和 Session 是两项必不可少的技术，您应该掌握它们的基本知识和实践技巧。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/67162b48ad1e889fe21b2ec6
