3.实现会话身份验证

实现会话验证

var express=require('express');
var bodyParser=require('body-parser');
var cookieParser=require('cookie-parser');
var session=require('express-session');
var crypto=require('crypto');
// 生成安全密码
function hashPW(pwd){
    return crypto.createHash('sha256').update(pwd).
    digest('base64').toString();
}
var app=express();
// app.use(bodyParser());
app.use(bodyParser.urlencoded({
  extended: true
}));
app.use(bodyParser.json());
app.use(cookieParser('MAGICString'));
// app.use(session());
app.use(session({
    secret: 'weizai',
    resave: true,
    saveUninitialized: true
}));
app.get('/restricted',function(req,res){
    if(req.session.user){
        res.send('<h2>'+req.session.success+'</h2>'+
            '<p>You have entered the restricted section</p><br>'+
            '<a href="/logout">logout</a>'
            );
    }else{
        req.session.error='Access denied';
        res.redirect('/login');
    }
});
app.get('/logout',function(req,res){
    req.session.destroy(function(){
        res.redirect('/login');
    })
})
app.get('/login',function(req,res){
    var response='<form method="POST">'+
    '<input type="text" name="username"><br>'+
    '<input type="password" name="password"><br>'+
    '<input type="submit" value="Submit"></form>';
    if(req.session.user){
        res.redirect('/restricted');
    }else if(req.session.error){
        response+='<h2>'+req.session.error+'</h2>';
    }
    res.type('html');
    res.send(response);
})
app.post('/login',function(req,res){
    // var user={name:req.body.username,password:hashPW("myPass")};
    var user={name:'weizai',password:hashPW("myPass")};
    if(user.password==hashPW(req.body.password.toString())){
        // 移除并创建新的req.session()会话
        req.session.regenerate(function(){
            req.session.user=user;
            req.session.seccess='Authenticated as '+user.name;
            res.redirect('/restricted');
        })
    }else{
       req.session.regenerate(function(){
            req.session.error='Authentication failed';
            res.redirect('/restricted');           
       });
       // res.redirect('/login');
    }    
});
app.listen(8081);

1.使用crypto模块生成安全的密码实现会话验证

1.利用hashPW()函数对密码加密，使用body-parser,cookieParser和session中间件

55行 模拟数据库得到一个user对象并把储存的密码散列值与请求正文中的密码散列值比较

58-61行 创建会话。regenerate()函数用来重新生成一个新的会话，传给regenerate()的回调函数设置会话的session.user和session.success属性。

验证失败，只会为会话session.error属性

40-51行 /login路由显示一个基本的登录获取证书。若session.error被设置，它也会显示在登录页面上。

24-33行 /restricted路由检查会话，看是否是有效的用户。是的话显示成功信息，否则session.error被设置，响应被重新定向到/login

35-38行 /logout路由在会话上调用destroy()方法删除身份验证。

方法	说明
regenerate([callback])	移除并创建一个词新的req.session对象，让你重置会话
destroy([callback])	移除req.session对象
save([callback])	保存会话数据
touch([callback])	为会话重置maxAge计数
cookie	指定把绘画链接到浏览器的cookie对象