世界上任何一个拥有用户数据的 web 应用都必须处理 sessions。作为一名开发者，我们必须要知道它们是什么以及如何处理它们。
在这篇文章中，我想要分享的是：

• session 是什么？
• session 如何存储数据？
• 你如何决定存放 session 数据的位置？
• 在 sessions 工作时，你必须意识到的安全性上的影响有哪些？
  在一些示例代码中，我将会运用 session npm module ，它很有可能是最常见的 session 库。

session 是什么？

session 是存储你通过请求获取到的数据的地方。每一个访问你网站的用户都有一个唯一的 session。当他们浏览你应用的时候，你就可以使用 session 去存储和获取用户数据。
session 对 web 应用开发来讲是必须有的，因为 session 允许应用去存储状态。基于用户在页面 A 上的一个动作，我们就可以展示出一个不同的页面 B。如果没有 session，应用将是无状态的，而且很无用。
这里展示了你如何使用 Express 去建立一个简单的 session

import express from 'express';
import session from 'express-session';
var app = express();
app.use(session());

如果你的应用已经有了可使用的 sessions, 你可以在一个路由处理中设置一些数据：

app.use(session({ secret: 'this-is-a-secret-token', cookie: { maxAge: 60000 }}));

// Access the session as req.session
app.get('/', function(req, res, next) {
  var sessData = req.session;
  sessData.someAttribute = "foo";
  res.send('Returning with some text');
});

在另一个路由处理中读到它：

app.get('/bar', function(req, res, next) {
  var someAttribute = req.session.someAttribute;
  res.send(`This will print the attribute I set earlier: ${someAttribute}`);
});

sessions 可以用不同的方式存储它们的信息。存储 session 数据最受欢迎的方式有：

• 在应用内存中
• 在 cookie 中
• 在内存缓存中
• 在数据库中

使用应用内存存储 session 数据

这是常见的最简单的存储方式，但在生产环境中不用。
用这种方式存储从根本上意味着数据在应用执行时间中的有效期内被存储，一旦你的 web 应用服务器宕机了或停止运行了，所有的 session 数据都会被移除。
在内存中存储 session 数据也会导致内存泄露。当你的应用保持运行的时候，越来越多的内存被占用，直到应用因为内存不足而退出。
为了开发的目的，把 session 数据存在内存中经常很有用。然而，这儿还有更好的存储 session 数据的方式。

使用 cookie 存储 session 数据

cookie 通常是从 web 服务器发送到你的 web 浏览器上的一小块数据。它允许服务器存储一个具体用户相关的信息。
cookies 的一种常见用法就是存储 session 数据，它的工作流程是：
1、服务器发送一个 cookie 给 web 浏览器，并且在客户端存储一段时间（称为 expiration time）。
2、当用户随后向 web 服务器发起一个请求时，这个 cookie 会和这个请求一起发送，服务器可以读到 cookie 中包含的信息。
3、如果需要的话，服务器可以修改 cookie，然后再把它返回给浏览器。
每次你发起一个请求，你的浏览器都会把 cookie 发送给服务器，直到 cookie 过期为止。
类似 express-session 这样的模块会给你提供一个友好的 API 和 sessions 一起工作（让你可以获取 & 设置 session 里的数据 ），但是在底层，它可以通过 cookie 保存和恢复这个数据。

sessions-1.png

使用内存缓存存储 session 数据

内存缓存是可以存储一小堆键值数据的地方。使用内存缓存存储 session 信息的最出名的两个例子就是 Redis 和 Memcached。在内存缓存中存储 session 数据的时候，服务器仍然使用 cookie，但是这个 cookie 只包含一个唯一的 sessionId。这个 sessionId 在服务器对储存库进行查找的时候使用。

sessions-2.png

var express      = require('express');
var session      = require('express-session');
var cookieParser = require('cookie-parser');
var app          = express();
var MemcachedStore = require('connect-memcached')(session);
 
app.use(cookieParser());
app.use(session({
      secret  : 'some-private-key',
      key     : 'test',
      proxy   : 'true',
      store   : new MemcachedStore({
        hosts: ['127.0.0.1:11211'], //this should be where your Memcached server is running
        secret: 'memcached-secret-key' // Optionally use transparent encryption for memcache session data 
    })
}));

使用数据库存储 session 数据

最后，我们谈一下在传统的数据库中存储 session 数据，比如 MySQL 和 PostgreSQL。在大多数情况下，它以一种类似于在内存中存储 session 数据的方式来工作。session cookie 仍然只含有一个 sessionId。在这种情况下，它将会匹配数据库里的 session 表中的第一个 key 值。总的来讲，我不推荐使用数据库来存储 session 数据，我这么做的唯一的理由是它需要花费大量精力去建立 Memcached 或 Redis。从数据库中恢复数据比用内存缓存恢复要慢的多，因为数据存储在硬盘上，而不是内存中。当你把 session 数据存在数据库里的时候，你会被数据库暴击的。。。。另外，你必须自己全权管理老的 session 数据。如果你没有移除老的 session 数据，你的数据库将被成千上万条无用数据行占用。这里有许多数据库存储，你可以使用 express-session。在 README 中查看完整列表。

你应该在哪存储你的 session 数据？

我们讨论了常用的三种方式存储来存储你的 session 数据。那么你应该在哪存储你的 session 数据呢？
总的来说，我遵循这个规则：“内存第一(译者注：这里应该是指内存缓存)，cookie 第二，最后是数据库”。
如果你使用 Memcached 或 Redis，我会和你相伴。如果不是，把你的 session 数据存在 cookie，但一定要确保你私钥的安全。最后，你可以把你的 session 数据存在数据库里，但一定要有一个移除老 session 数据的计划。
原文地址：http://nodewebapps.com/2017/0...