Express 中如何进行身份验证？

推荐答案

在 Express 中进行身份验证通常使用 passport 中间件，结合 express-session 来管理用户会话。以下是一个简单的示例：

// www.javascriptcn.com code example
const express = require('express');
const session = require('express-session');
const passport = require('passport');
const LocalStrategy = require('passport-local').Strategy;

const app = express();

// 配置 session
app.use(session({
  secret: 'your-secret-key',
  resave: false,
  saveUninitialized: false
}));

// 初始化 passport
app.use(passport.initialize());
app.use(passport.session());

// 配置本地策略
passport.use(new LocalStrategy(
  function(username, password, done) {
    // 这里应该查询数据库验证用户
    if (username === 'user' && password === 'password') {
      return done(null, { id: 1, username: 'user' });
    } else {
      return done(null, false, { message: 'Incorrect username or password.' });
    }
  }
));

// 序列化用户
passport.serializeUser(function(user, done) {
  done(null, user.id);
});

// 反序列化用户
passport.deserializeUser(function(id, done) {
  // 这里应该根据 id 查询数据库获取用户信息
  done(null, { id: 1, username: 'user' });
});

// 登录路由
app.post('/login',
  passport.authenticate('local', { successRedirect: '/', failureRedirect: '/login' })
);

// 受保护的路由
app.get('/', (req, res) => {
  if (req.isAuthenticated()) {
    res.send('Welcome, ' + req.user.username);
  } else {
    res.redirect('/login');
  }
});

app.listen(3000, () => {
  console.log('Server is running on port 3000');
});

本题详细解读

1. 使用 express-session 管理会话

express-session 是一个用于管理用户会话的中间件。它会在服务器端存储用户的会话数据，并为每个用户生成一个唯一的会话 ID。这个会话 ID 通常存储在客户端的 cookie 中。

2. 使用 passport 进行身份验证

passport 是一个灵活的身份验证中间件，支持多种身份验证策略（如本地验证、OAuth、OpenID 等）。在这个示例中，我们使用了 passport-local 策略来进行本地用户名和密码的验证。

3. 配置本地策略

LocalStrategy 是 passport 提供的一个本地验证策略。在配置策略时，我们需要提供一个回调函数来处理用户的登录请求。这个回调函数通常会查询数据库来验证用户名和密码。

4. 序列化和反序列化用户

passport 需要知道如何将用户对象序列化到会话中，以及如何从会话中反序列化用户对象。serializeUser 和 deserializeUser 方法分别用于这两个过程。

5. 登录路由

在登录路由中，我们使用 passport.authenticate 方法来处理登录请求。如果验证成功，用户将被重定向到主页；如果验证失败，用户将被重定向回登录页面。

6. 受保护的路由

在受保护的路由中，我们可以使用 req.isAuthenticated() 方法来检查用户是否已经通过身份验证。如果用户已经登录，我们可以访问 req.user 来获取当前用户的信息。

通过以上步骤，我们可以在 Express 应用中实现基本的身份验证功能。