摘要：當(dāng)會(huì)話過(guò)期或被放棄后，服務(wù)器將終止該會(huì)話。原來(lái)中間件生成的是一個(gè)對(duì)象，里面包含了信息。這個(gè)有一個(gè)過(guò)期時(shí)間，比如，上面代碼中設(shè)置的是小時(shí)。也就是說(shuō)，小時(shí)后，這個(gè)在瀏覽器中會(huì)自動(dòng)消失。

在上一篇中node中的cookie，對(duì)cookie進(jìn)行了相關(guān)介紹，本篇將繼續(xù)前行，對(duì)session進(jìn)行說(shuō)明。

session不就是會(huì)話嘛，那什么是會(huì)話呢？
會(huì)話是一個(gè)比連接粒度更大的概念，一次會(huì)話可能包含多次連接，每次連接都被認(rèn)為是會(huì)話的一次操作。
當(dāng)用戶在Web頁(yè)面之間跳轉(zhuǎn)時(shí)，存儲(chǔ)在 Session 對(duì)象中的變量將不會(huì)丟失，而是在整個(gè)用戶會(huì)話中一直存在下去。
當(dāng)用戶請(qǐng)求來(lái)自應(yīng)用程序的 Web 頁(yè)面時(shí)，如果該用戶還沒(méi)有會(huì)話，則 Web 服務(wù)器將自動(dòng)創(chuàng)建一個(gè) Session 對(duì)象。當(dāng)會(huì)話過(guò)期或被放棄后，服務(wù)器將終止該會(huì)話。

說(shuō)了這么多，我們先來(lái)看看這貨吧。

原來(lái)session中間件生成的session是一個(gè)對(duì)象，里面包含了cookie信息。

首先，安裝express框架，cookieParser中間件，express-session中間件

npm i express --save
npm i cookie-parser --save
npm i express-session --save

默認(rèn)情況下，Express會(huì)話中間件是把session信息存儲(chǔ)在內(nèi)存中，且需要用簽名cookie，所以在使cookieParser()時(shí)得給它傳給一個(gè)秘鑰。如果沒(méi)有秘鑰，則會(huì)提醒 Error: secret option required for sessions

代碼如下：

var express = require("express");
var cookieParser = require("cookie-parser");
var session = require("express-session");

var app = express()
app.use(cookieParser())

const hour = 1000 * 60 * 60;
var sessionOpts = {
  // 設(shè)置密鑰
  secret: "a cool secret",
  // Forces the session to be saved back to the session store
  resave: true,
  // Forces a session that is "uninitialized" to be saved to the store.
  saveUninitialized: true,
  // 設(shè)置會(huì)話cookie名, 默認(rèn)是connect.sid
  key: "myapp_sid",
  // If secure is set to true, and you access your site over HTTP, the cookie will not be set.
  cookie: { maxAge: hour * 2, secure: false }
}
app.use(session(sessionOpts))

app.use(function(req, res, next) {
  if (req.url === "/favicon.ico") {
    return
  }

  // 同一個(gè)瀏覽器而言，req是同一個(gè)
  var sess = req.session;
  console.log(sess)

  if (sess.views) {
    sess.views++;
  } else {
    sess.views = 1;
  }
  res.setHeader("Content-Type", "text/html");
  res.write("
views: " + sess.views + "
");
  res.end();
});

app.listen(4000);

上面代碼實(shí)現(xiàn)了一個(gè)簡(jiǎn)單的頁(yè)面瀏覽計(jì)數(shù)功能。
運(yùn)行上面代碼，可以打開(kāi)瀏覽器，不斷刷新頁(yè)面，觀察node程序中打印的sess值。
我們發(fā)現(xiàn)，在同一個(gè)瀏覽器中刷新頁(yè)面，控制臺(tái)上打印的是同一個(gè)session，只不過(guò)其中的views的值變了，也就是說(shuō)，多次http連接對(duì)應(yīng)的是同一個(gè)會(huì)話。

默認(rèn)情況下，Express會(huì)話中間件是把session信息存儲(chǔ)在內(nèi)存中，但在開(kāi)發(fā)和生產(chǎn)期間，最好有一個(gè)持久化的、可擴(kuò)展的數(shù)據(jù)存放你的會(huì)話數(shù)據(jù)。express社區(qū)已經(jīng)創(chuàng)建了幾個(gè)使用數(shù)據(jù)庫(kù)的會(huì)話存儲(chǔ)，包括MongoDB、Redis、Memcached、PostgreSQL以及其他數(shù)據(jù)庫(kù)。但低延遲的鍵/值存儲(chǔ)最適合這種易失性數(shù)據(jù)，這里我們先用redis來(lái)存儲(chǔ)session信息。

首先，安裝connect-redis模塊

npm i connect-redis --save

代碼如下：

var express = require("express");
var cookieParser = require("cookie-parser");
var session = require("express-session");

var RedisStore = require("connect-redis")(session);

var app = express()
app.use(cookieParser())

var options = {
  host: "127.0.0.1",
  port: 6379,
  db: 1, // Database index to use. Defaults to Redis"s default (0).
  prefix: "ID:" // Key prefix defaulting to "sess:"
  // pass: "aaa" // Password for Redis authentication
}

const hour = 1000 * 60 * 60;
var sessionOpts = {
  store: new RedisStore(options),
  // 設(shè)置密鑰
  secret: "a cool secret",
  // Forces the session to be saved back to the session store
  resave: true,
  // Forces a session that is "uninitialized" to be saved to the store.
  saveUninitialized: true,
  // 設(shè)置會(huì)話cookie名
  key: "myapp_sid",
  // If secure is set to true, and you access your site over HTTP, the cookie will not be set.
  cookie: { maxAge: hour * 8, secure: false }
}
app.use(session(sessionOpts)) // 如果沒(méi)有secret，會(huì)提醒 Error: secret option required for sessions

app.use(function(req, res, next) {
  if (req.url === "/favicon.ico") {
    return
  }

  var sess = req.session;
  var id = req.sessionID; // session ID, 只讀
  console.log(sess, id);

  if (sess.views) {
    sess.views++; // 如果放在res.end()后，不會(huì)自增
    res.setHeader("Content-Type", "text/html");
    res.write("
views: " + sess.views + "
");
    res.write("
expires in: " + (sess.cookie.maxAge / 1000) + "s
");
    res.end();
  } else {
    sess.views = 1;
    res.end("welcome to the session demo. refresh!");
  }
});

app.listen(4000);

上面程序中，將會(huì)話信息存入了redis的db1數(shù)據(jù)庫(kù)中，運(yùn)行后，刷新瀏覽器，數(shù)據(jù)庫(kù)中的信息如下：

首先，得安裝connect-mongo模塊

npm i connect-mongo --save

代碼如下：

var express = require("express");
var cookieParser = require("cookie-parser");
var session = require("express-session");

var MongoStore = require("connect-mongo")(session);
const hour = 1000 * 60 * 60

var app = express()
app.use(cookieParser())
app.use(session({
  secret: "a cool secret",
  key: "mongo_sid",
  cookie: { maxAge: hour * 8, secure: false },
  resave: true,
  saveUninitialized: true,
  store: new MongoStore({
    url: "mongodb://@localhost:27017/demodb"
  })
}));

app.use(function(req, res, next) {
  if (req.url === "/favicon.ico") {
    return
  }

  var sess = req.session;
  var id = req.sessionID; // session ID, 只讀
  console.log(sess, id);

  if (sess.views) {
    sess.views++;
  } else {
    sess.views = 1;
  }

  res.setHeader("Content-Type", "text/html");
  res.write("
views: " + sess.views + "
");
  res.write("
expires in: " + (sess.cookie.maxAge / 1000) + "s
");
  res.write("
httpOnly: " + sess.cookie.httpOnly + "
");
  res.write("
path: " + sess.cookie.path + "
");
  res.write("
secure: " + sess.cookie.secure + "
");
  res.end();
});

app.listen(4000);

運(yùn)行后，刷新瀏覽器頁(yè)面，在demodb數(shù)據(jù)庫(kù)中的sessions集合中發(fā)現(xiàn)已經(jīng)存入了如下session信息。

可能會(huì)有人問(wèn)：結(jié)果是看到了，但這過(guò)程中到底發(fā)生了什么呢？
其實(shí)，當(dāng)瀏覽器發(fā)起第一次請(qǐng)求時(shí)，session中間件會(huì)生成一個(gè)session對(duì)象（其中包含cookie信息），這個(gè)session對(duì)象會(huì)存入mongoDb數(shù)據(jù)庫(kù)中，同時(shí)，請(qǐng)求返回時(shí)，瀏覽器客戶端會(huì)自動(dòng)將這個(gè)session對(duì)象中的cookie保存起來(lái)，注意哦，瀏覽器存的可是cookie，而不是session對(duì)象。
這個(gè)cookie有一個(gè)過(guò)期時(shí)間，比如，上面代碼中設(shè)置的是8小時(shí)。也就是說(shuō)，8小時(shí)后，這個(gè)cookie在瀏覽器中會(huì)自動(dòng)消失。

現(xiàn)在，你弄清楚session和cookie之間的關(guān)系了嗎？下一篇我將對(duì)node中的密碼安全進(jìn)行介紹，敬請(qǐng)期待哦。