会话管理

会话管理的基本概念

会话管理是Web应用中处理用户状态的核心机制。HTTP协议本身是无状态的，服务器需要某种方式识别连续请求来自同一用户。常见的实现方式包括Cookie、Session和Token三种模式。

// 一个简单的Express会话示例
const express = require('express');
const session = require('express-session');

const app = express();
app.use(session({
  secret: 'your_secret_key',
  resave: false,
  saveUninitialized: true,
  cookie: { secure: false }
}));

Cookie基础实现

Cookie是最基础的会话管理方式，由服务器通过Set-Cookie头部发送给客户端，浏览器后续请求会自动携带。Node.js中可以直接操作HTTP响应头：

const http = require('http');

http.createServer((req, res) => {
  // 设置Cookie
  res.setHeader('Set-Cookie', ['user_token=abc123; Max-Age=3600']);
  
  // 读取Cookie
  const cookies = req.headers.cookie;
  console.log(cookies); // "user_token=abc123"
}).listen(3000);

Session存储方案

Session将会话数据存储在服务端，只给客户端发送Session ID。常见存储方式包括：

1. 内存存储（开发环境使用）
2. Redis（生产环境推荐）
3. 数据库存储（MySQL/MongoDB）

// 使用Redis存储Session
const redis = require('redis');
const connectRedis = require('connect-redis');
const RedisStore = connectRedis(session);

app.use(session({
  store: new RedisStore({ client: redis.createClient() }),
  secret: 'complex_password_here',
  resave: false,
  saveUninitialized: false
}));

JWT令牌机制

JSON Web Token是无状态会话的现代解决方案，包含三部分：Header、Payload和Signature。Node.js实现示例：

const jwt = require('jsonwebtoken');

// 生成Token
function generateToken(user) {
  return jwt.sign(
    { userId: user.id, role: user.role },
    process.env.JWT_SECRET,
    { expiresIn: '1h' }
  );
}

// 验证Token
function verifyToken(token) {
  try {
    return jwt.verify(token, process.env.JWT_SECRET);
  } catch (err) {
    return null;
  }
}

会话安全实践

安全是会话管理的核心考量：

1. 始终使用HTTPS传输Cookie
2. 设置HttpOnly和Secure标志
3. 实现CSRF保护
4. 定期轮换会话密钥

// 安全Cookie配置示例
app.use(session({
  secret: 'keyboard_cat',
  cookie: {
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production',
    sameSite: 'strict',
    maxAge: 24 * 60 * 60 * 1000 // 24小时
  }
}));

分布式会话处理

在集群环境中需要特殊处理会话：

// 使用共享存储的会话配置
const cluster = require('cluster');
const numCPUs = require('os').cpus().length;

if (cluster.isMaster) {
  for (let i = 0; i < numCPUs; i++) {
    cluster.fork();
  }
} else {
  // 所有worker共享同一个Redis存储
  app.use(session({
    store: new RedisStore({ /* 配置 */ }),
    // 其他配置...
  }));
}

会话性能优化

提升会话处理效率的方法：

1. 减少会话数据量
2. 实现会话惰性加载
3. 使用内存缓存热门会话
4. 合理设置过期时间

// 会话数据精简示例
app.use((req, res, next) => {
  if (req.session.user) {
    // 只存储必要字段
    req.session.user = {
      id: req.session.user.id,
      role: req.session.user.role
    };
  }
  next();
});

第三方认证集成

结合OAuth等第三方认证的会话处理：

const passport = require('passport');
const GoogleStrategy = require('passport-google-oauth20').Strategy;

passport.use(new GoogleStrategy({
    clientID: process.env.GOOGLE_CLIENT_ID,
    clientSecret: process.env.GOOGLE_CLIENT_SECRET,
    callbackURL: '/auth/google/callback'
  },
  (accessToken, refreshToken, profile, done) => {
    // 处理用户认证后创建会话
    User.findOrCreate({ googleId: profile.id }, (err, user) => {
      return done(err, user);
    });
  }
));

app.use(passport.initialize());
app.use(passport.session());

移动端会话特殊处理

移动应用需要不同的会话策略：

1. 使用Bearer Token替代Cookie
2. 实现Token刷新机制
3. 设备指纹识别

// 移动端Token验证中间件
function mobileAuth(req, res, next) {
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];
  
  if (!token) return res.sendStatus(401);
  
  jwt.verify(token, process.env.ACCESS_TOKEN_SECRET, (err, user) => {
    if (err) return res.sendStatus(403);
    req.user = user;
    next();
  });
}

会话监控与日志

实现会话活动的监控：

// 会话活动日志中间件
app.use((req, res, next) => {
  const start = Date.now();
  
  res.on('finish', () => {
    const duration = Date.now() - start;
    console.log({
      method: req.method,
      path: req.path,
      sessionId: req.sessionID,
      userId: req.session.user?.id,
      status: res.statusCode,
      duration: `${duration}ms`
    });
  });
  
  next();
});