nodejs学习笔记(13)-Cookie与Session身份验证(1)-了解Cookie和Session

身份认证

什么是身份认证?

• 身份认证（Authentication）又称“身份验证”、“鉴权”，是指通过一定的手段，完成对用户身份的确认。
• 日常生活中的身份认证随处可见，例如：高铁的验票乘车，手机的密码或指纹解锁，支付宝或微信的支付密码等。
• 在 Web 开发中，也涉及到用户身份的认证，例如：各大网站的手机验证码登录、邮箱密码登录、二维码登录等。

为什么需要身份验证?

• 身份认证的目的，是为了确认当前所声称为某种身份的用户，确实是所声称的用户。例如，你去找快递员取快递，你要怎么证明这份快递是你的。
• 在互联网项目开发中，如何对用户的身份进行认证，是一个值得深入探讨的问题。例如，如何才能保证网站不会错误的将“马云的存款数额”显示到“马化腾的账户”上。

不同开发模式下的身份认证

• 对于服务端渲染和前后端分离这两种开发模式来说，分别有着不同的身份认证方案：
  1. 服务端渲染推荐使用 Session 认证机制
  2. 前后端分离推荐使用 JWT 认证机制(重点学习)

http协议的基本介绍

http协议的无状态性

• 了解 HTTP 协议的无状态性是进一步学习 Session 认证机制的必要前提。
• HTTP 协议的无状态性，指的是客户端的每次 HTTP 请求都是独立的，连续多个请求之间没有直接的关系，服务器不会主动保留每次 HTTP 请求的状态。

如下图所示:

• 我们去超市买东西,结账的时候,收银员是不会认得每一个顾客的,更不会认得你究竟是不是会员, 你第二天去继续取买同样也是如此, 这就类比到服务器(收银员)不会认得每一个http请求(顾客的购物结算)一样

如何突破http协议的无状态限制呢?

• 还是上一个例子, 为了方便收银员在进行结算时给会员打折,超市可以给会员发一张vip会员卡

如下图所示

• 我们在进行购物结算(http请求)的时候出示会员卡这样收银员(服务器)就能识别到我们究竟是不是会员,而这张会员卡就是Cookie

什么是Cookie?

• Cookie 是存储在用户浏览器中的一段不超过 4 KB 的字符串。它由一个名称（Name）、一个值（Value）[键值对形式]和其它几个用于控制 Cookie 有效期、安全性、使用范围的可选属性组成。
• 不同域名下的 Cookie 各自独立，每当客户端发起请求时，会自动把当前域名下所有未过期的 Cookie 一同发送到服务器。

Cookie的几大特性:

1. 自动发送(我们在想服务器发送请求时自动携带cookie)
2. 域名独立(不同域名下的cookie是相互独立的,好比百度的cookie无法访问京东一样)
3. 过期时限(每一个cookie都是有过期时限的,只有在有效期的范围内才能发送到服务器)
4. 4KB 限制(cookie是以键值对的形式存储的,存储的字符串限制为4kb)
   

Cookie在身份验证中的作用

• 客户端第一次请求服务器的时候，服务器通过响应头的形式，向客户端发送一个身份认证的 Cookie，客户端会自动将 Cookie 保存在浏览器中。
• 随后，当客户端浏览器每次请求服务器的时候，浏览器会自动将身份认证相关的 Cookie，通过请求头的形式发送给服务器，服务器即可验明客户端的身份。
  

Cookie是不具备安全性的

• 由于 Cookie 是存储在浏览器中的，而且浏览器也提供了读写 Cookie 的 API，因此 Cookie 很容易被伪造，不具有安全性。因此不建议服务器将重要的隐私数据，通过 Cookie 的形式发送给浏览器。

还是拿回上一个例子

• 有的客户发现只要出示会员卡就能打折,那么他就去伪造一个一模一样会员卡,同样也就能实现打折了,由此可见,单纯的使用会员卡(cookie)来辨别身份是不安全的,因为用户可以伪造这张会员卡(Cookie)

Session

• 为了防止客户伪造会员卡，收银员在拿到客户出示的会员卡之后，可以在收银机上进行刷卡认证。只有收银机确认存在的会员卡，才能被正常使用。
  

• 这种“会员卡 + 刷卡认证”的设计理念，就是 Session 认证机制的精髓。

什么是Session

• Session是另一种记录客户状态的机制，不同的是Cookie保存在客户端浏览器中，而Session保存在服务器上。客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上。这就是Session。客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了。

• 每个用户访问服务器都会建立一个session，那服务器是怎么标识用户的唯一身份呢？事实上，用户与服务器建立连接的同时，服务器会自动为其分配一个Session_Id,这个Session_Id一般是没有规律的字符串。

Session的工作原理

• Session的工作原理是客户端登录完成之后，服务器会创建对应的Session，Session创建完之后，服务器会通过Cookie携带Session的id发送给客户端，客户端将这个个带有Session_id的Cookie存储到浏览器 中。这样客户端每次访问服务器时，利用Cookie的自动发送特性,将这个带有Session_id的Cookie发送到服务器，服务器拿到Session_id之后，在内存找到与之对应的Session这样就可以返回对应的状态,页面或者资源了!。

Session和Cookie的区别？

1. 数据存储位置：cookie数据存放在客户的浏览器上，session数据放在服务器上。
2. 安全性：cookie不是很安全，别人可以分析存放在本地的cookie并进行cookie欺骗，考虑到安全应当使用session。
3. 服务器性能：session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能，考虑到减轻服务器性能方面，应当使用cookie。
4. 数据大小：单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。
5. 信息重要程度：可以考虑将登陆信息等重要信息存放为session，其他信息如果需要保留，可以放在cookie中。

安全性对比疑问

• 有个疑问，据说是session身份验证比cookie身份验证更安全，因为session安全验证是存储在服务器，但是服务器仍然是需要去读取存储用户浏览器中的session id，然后依照这个session id去寻找session，这和读取cookie比起来，感觉也安全不到哪里去啊，我如果获取了目标的session id，不是照样可以伪造身份吗？你把session信息存储在服务端又安全在哪里呢？

• 网络上的某篇文章解答:

  1. 没错，其实HTTP本身就不安全，只要是存在cookie中的数据都可以获取到并加以利用，但是session的安全性也是相对的，由于数据存储在数据库中，就算sessionid被获取利用，但是session中的数据并不会被恶意程序获取，这一点相对cookie来说就安全了一些
  2. 并且经常存在session -id还存储在浏览器，但是session信息已经过期的情况，此时进行登录，它会依照你当前的session -id创建session文件。也就是说黑客获得了用户的session -id后并不一定可以利用这个id进行登录，因为对应的session信息可能已经被销毁了，而且session id中也并没有存储其它有价值的信息，这就是session比单纯的cookie安全性更高的原因

Cookie结合Session的工作流程图