数据库和身份认证

Node 操作 mysql

配置 mysql 模块

1.安装 mysql 模块

npm install mysql


2.建立连接

const mysql &＃61; require(&＃39;mysql&＃39;)const db &＃61; mysql.createPool({host: &＃39;127.0.0.1&＃39;,user: &＃39;root&＃39;,password: &＃39;root&＃39;,database: &＃39;test&＃39;,
})


3.测试是否正常工作

db.query(&＃39;select 1&＃39;, (err, results) &＃61;> {if (err) return console.log(err.message)console.log(results)
})


操作 mysql 数据库

1.查询数据

db.query(&＃39;select * from users&＃39;, (err, results) &＃61;> {...
})


2.插入数据

// ? 表示占位符
const sql &＃61; &＃39;insert into users values(?, ?)&＃39;
// 使用数组的形式为占位符指定具体的值
db.query(sql, [username, password], (err, results) &＃61;> {if (err) return console.log(err.message)if (results.affectedRows &＃61;&＃61;&＃61; 1) console.log(&＃39;插入成功&＃39;)
})


向表中新增数据时&＃xff0c;如果数据对象的每个属性和数据表的字段一一对应&＃xff0c;则可以通过如下方式快速插入数据&＃xff1a;

const user &＃61; {username:&＃39;Bruce&＃39;, password:&＃39;55520&＃39;}
const sql &＃61; &＃39;insert into users set ?&＃39;
db.query(sql, user, (err, results) &＃61;> {...
})


3.更新数据

const sql &＃61; &＃39;update users set username&＃61;?, password&＃61;? where id&＃61;?&＃39;
db.query(sql, [username, password, id], (err, results) &＃61;> {...
})


快捷方式&＃xff1a;

const user &＃61; {id:7,username:&＃39;Bruce&＃39;,password:&＃39;55520&＃39;}
const sql &＃61; &＃39;update users set ? where id&＃61;?&＃39;
db.query(sql, [user, user.id], (err, results) &＃61;> {...
})


4.删除数据

const sql &＃61; &＃39;delete from users where id&＃61;?&＃39;
db.query(sql, id, (err, results) &＃61;> {...
})


使用 delete 语句会真正删除数据&＃xff0c;保险起见&＃xff0c;使用标记删除的形式&＃xff0c;模拟删除的动作。即在表中设置状态字段&＃xff0c;标记当前的数据是否被删除。

db.query(&＃39;update users set status&＃61;1 where id&＃61;?&＃39;, 7, (err, results) &＃61;> {...
})


Web 开发模式

服务端渲染

服务器发送给客户端的 HTML 页面&＃xff0c;是在服务器通过字符串的拼接动态生成的。因此客户端不需要使用 Ajax 额外请求页面的数据。

app.get(&＃39;/index.html&＃39;, (req, res) &＃61;> {const user &＃61; { name: &＃39;Bruce&＃39;, age: 29 }const html &＃61; &＃96;

username:${user.name}, age:${user.age}

优点&＃xff1a;

• 前端耗时短。浏览器只需直接渲染页面&＃xff0c;无需额外请求数据。
• 有利于 SEO。服务器响应的是完整的 HTML 页面内容&＃xff0c;有利于爬虫爬取信息。
  缺点&＃xff1a;
• 占用服务器资源。服务器需要完成页面内容的拼接&＃xff0c;若请求比较多&＃xff0c;会对服务器造成一定访问压力。
• 不利于前后端分离&＃xff0c;开发效率低。

前后端分离

前后端分离的开发模式&＃xff0c;依赖于 Ajax 技术的广泛应用。后端只负责提供 API 接口&＃xff0c;前端使用 Ajax 调用接口。

优点&＃xff1a;

• 开发体验好。前端专业页面开发&＃xff0c;后端专注接口开发。
• 用户体验好。页面局部刷新&＃xff0c;无需重新请求页面。
• 减轻服务器的渲染压力。页面最终在浏览器里生成。

缺点&＃xff1a;

• 不利于 SEO。完整的 HTML 页面在浏览器拼接完成&＃xff0c;因此爬虫无法爬取页面的有效信息。Vue、React 等框架的 SSR&＃xff08;server side render&＃xff09;技术能解决 SEO 问题。

如何选择

• 企业级网站&＃xff0c;主要功能是展示&＃xff0c;没有复杂交互&＃xff0c;且需要良好的 SEO&＃xff0c;可考虑服务端渲染
• 后台管理项目&＃xff0c;交互性强&＃xff0c;无需考虑 SEO&＃xff0c;可使用前后端分离
• 为同时兼顾首页渲染速度和前后端分离开发效率&＃xff0c;可采用首屏服务器端渲染&＃43;其他页面前后端分离的开发模式

身份认证

Session 认证机制

服务端渲染推荐使用 Session 认证机制

Session 工作原理

Express 中使用 Session 认证

1.安装 express-session 中间件

npm install express-session


2.配置中间件

const session &＃61; require(&＃39;express-session&＃39;)
app.use(session({secret: &＃39;Bruce&＃39;, // secret 的值为任意字符串resave: false,saveUninitalized: true,})
)


3.向 session 中存数据
中间件配置成功后&＃xff0c;可通过 req.session 访问 session 对象&＃xff0c;存储用户信息

app.post(&＃39;/api/login&＃39;, (req, res) &＃61;> {req.session.user &＃61; req.bodyreq.session.isLogin &＃61; trueres.send({ status: 0, msg: &＃39;login done&＃39; })
})


4.从 session 取数据

app.get(&＃39;/api/username&＃39;, (req, res) &＃61;> {if (!req.session.isLogin) {return res.send({ status: 1, msg: &＃39;fail&＃39; })}res.send({ status: 0, msg: &＃39;success&＃39;, username: req.session.user.username })
})


5.清空 session

app.post(&＃39;/api/logout&＃39;, (req, res) &＃61;> {// 清空当前客户端的session信息req.session.destroy()res.send({ status: 0, msg: &＃39;logout done&＃39; })
})


JWT 认证机制

前后端分离推荐使用 JWT&＃xff08;JSON Web Token&＃xff09;认证机制&＃xff0c;是目前最流行的跨域认证解决方案

JWT 工作原理

Session 认证的局限性&＃xff1a;

• Session 认证机制需要配合 COOKIE 才能实现。由于 COOKIE默认不支持跨域访问&＃xff0c;所以&＃xff0c;当涉及到前端跨域请求后端接口的时候&＃xff0c;需要做很多额外的配置&＃xff0c;才能实现跨域 Session 认证。
• 当前端请求后端接口不存在跨域问题的时候&＃xff0c;推荐使用 Session 身份认证机制。
• 当前端需要跨域请求后端接口的时候&＃xff0c;不推荐使用 Session 身份认证机制&＃xff0c;推荐使用 JWT 认证机制

JWT 工作原理图&＃xff1a;

用户的信息通过 Token 字符串的形式&＃xff0c;保存在客户端浏览器中。服务器通过还原 Token 字符串的形式来认证用户的身份。

JWT 组成部分&＃xff1a;

• Header、Payload、Signature
• Payload 是真正的用户信息&＃xff0c;加密后的字符串
• Header 和 Signature 是安全性相关部分&＃xff0c;保证 Token 安全性
• 三者使用 . 分隔

Header.Payload.SignatureeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6MTcsInVzZXJuYW1lIjoiQnJ1Y2UiLCJwYXNzd29yZCI6IiIsIm5pY2tuYW1lIjoiaGVsbG8iLCJlbWFpbCI6InNjdXRAcXEuY29tIiwidXNlcl9waWMiOiIiLCJpYXQiOjE2NDE4NjU3MzEsImV4cCI6MTY0MTkwMTczMX0.bmqzAkNSZgD8IZxRGGyVlVwGl7EGMtWitvjGD-a5U5c


JWT 使用方式&＃xff1a;

• 客户端会把 JWT 存储在 localStorage 或 sessionStorage 中
• 此后客户端与服务端通信需要携带 JWT 进行身份认证&＃xff0c;将 JWT 存在 HTTP 请求头 Authorization 字段中
• 加上 Bearer 前缀

Authorization: Bearer <token>


Express 使用 JWT

1.安装

• jsonwebtoken 用于生成 JWT 字符串
• express-jwt 用于将 JWT 字符串解析还原成 JSON 对象

npm install jsonwebtoken express-jwt


2.定义 secret 密钥

• 为保证 JWT 字符串的安全性&＃xff0c;防止其在网络传输过程中被破解&＃xff0c;需定义用于加密和解密的 secret 密钥
• 生成 JWT 字符串时&＃xff0c;使用密钥加密信息&＃xff0c;得到加密好的 JWT 字符串
• 把 JWT 字符串解析还原成 JSON 对象时&＃xff0c;使用密钥解密

const jwt &＃61; require(&＃39;jsonwebtoken&＃39;)
const expressJWT &＃61; require(&＃39;express-jwt&＃39;)// 密钥为任意字符串
const secretKey &＃61; &＃39;Bruce&＃39;


3.生成 JWT 字符串

app.post(&＃39;/api/login&＃39;, (req, res) &＃61;> {...res.send({status: 200,message: &＃39;登录成功&＃39;,// jwt.sign() 生成 JWT 字符串// 参数&＃xff1a;用户信息对象、加密密钥、配置对象-token有效期// 尽量不保存敏感信息&＃xff0c;因此只有用户名&＃xff0c;没有密码token: jwt.sign({username: userInfo.username}, secretKey, {expiresIn: &＃39;10h&＃39;})})
})


4.JWT 字符串还原为 JSON 对象

• 客户端访问有权限的接口时&＃xff0c;需通过请求头的Authorization 字段&＃xff0c;将 Token 字符串发送到服务器进行身份认证
• 服务器可以通过 express-jwt 中间件将客户端发送过来的 Token 解析还原成 JSON 对象

// unless({ path: [/^\/api\//] }) 指定哪些接口无需访问权限
app.use(expressJWT({ secret: secretKey }).unless({ path: [/^\/api\//] }))


5.获取用户信息

• 当 express-jwt 中间件配置成功后&＃xff0c;即可在那些有权限的接口中&＃xff0c;使用 req.user 对象&＃xff0c;来访问从 JWT字符串中解析出来的用户信息

app.get(&＃39;/admin/getinfo&＃39;, (req, res) &＃61;> {console.log(req.user)res.send({status: 200,message: &＃39;获取信息成功&＃39;,data: req.user,})
})


6.捕获解析 JWT 失败后产生的错误

• 当使用 express-jwt 解析 Token 字符串时&＃xff0c;如果客户端发送过来的 Token 字符串过期或不合法&＃xff0c;会产生一个解析失败的错误&＃xff0c;影响项目的正常运行
• 通过 Express 的错误中间件&＃xff0c;捕获这个错误并进行相关的处理

app.use((err, req, res, next) &＃61;> {if (err.name &＃61;&＃61;&＃61; &＃39;UnauthorizedError&＃39;) {return res.send({ status: 401, message: &＃39;Invalid token&＃39; })}res.send({ status: 500, message: &＃39;Unknown error&＃39; })
})