// 獲取用戶姓名的接口
app.get('/api/username', (req, res) => {// TODO_03：請從 Session 中獲取用戶的名稱，響應給客戶端if (!req.session.islogin) {return res.send({status: 1,msg: 'fail'})}res.send({status: 0,msg: 'success',username: req.session.user.username})
})

4.5 清空 session

// 退出登錄的接口
app.post('/api/logout', (req, res) => {// TODO_04：清空 Session 信息req.session.destroy()res.send({status: 0,msg: '退出登錄成功'})
})

完整代碼：

// 導入 express 模塊
const express = require('express')
const session = require('express-session')
// 創建 express 的服務器實例
const app = express()// TODO_01：請配置 Session 中間件
app.use(session({secret: 'itheima', // secret 屬性值可以為任意字符串resave: false, // 固定寫法saveUninitialized: true // 固定寫法
}))// 托管靜態頁面
app.use(express.static('./pages'))
// 解析 POST 提交過來的表單數據
app.use(express.urlencoded({ extended: false }))// 登錄的 API 接口
app.post('/api/login', (req, res) => {// 判斷用戶提交的登錄信息是否正確if (req.body.username !== 'admin' || req.body.password !== '000000') {return res.send({ status: 1, msg: '登錄失敗' })}// TODO_02：請將登錄成功后的用戶信息，保存到 Session 中req.session.user = req.body // 用戶的信息req.session.islogin = true // 用戶的登錄狀態res.send({ status: 0, msg: '登錄成功' })
})// 獲取用戶姓名的接口
app.get('/api/username', (req, res) => {// TODO_03：請從 Session 中獲取用戶的名稱，響應給客戶端if (!req.session.islogin) {return res.send({status: 1,msg: 'fail'})}res.send({status: 0,msg: 'success',username: req.session.user.username})
})// 退出登錄的接口
app.post('/api/logout', (req, res) => {// TODO_04：清空 Session 信息req.session.destroy()res.send({status: 0,msg: '退出登錄成功'})
})// 調用 app.listen 方法，指定端口號并啟動web服務器
app.listen(80, function () {console.log('Express server running at http://127.0.0.1:80')
})

5. JWT 認證機制（重點）

5.1 了解 Session 認證的局限性

• 當前端請求后端接口不存在跨域問題的時候，推薦使用 Session 身份認證機制。
• 當前端需要跨域請求后端接口的時候，不推薦使用 Session 身份認證機制，推薦使用 JWT 認證機制。

5.2?什么是 JWT

5.3 JWT 的工作原理

總結：

• 用戶的信息通過 Token 字符串的形式，保存在客戶端瀏覽器中。服務器通過還原 Token 字符串的形式來認證用戶的身份。

5.4 JWT 的組成部分

JWT 通常由三部分組成，分別是 Header （頭部）、 Payload （有效荷載）、 Signature （簽名）。

三者之間使用英文的“.”分隔，格式如下：

下面是 JWT 字符串的示例：

5.6 JWT 的三個部分各自代表的含義

JWT 的三個組成部分，從前到后分別是 Header、Payload、Signature。

其中：

• Payload 部分才是真正的用戶信息，它是用戶信息經過加密之后生成的字符串。
• Header 和 Signature 是安全性相關的部分，只是為了保證 Token 的安全性。

5.7 JWT 的使用方式

客戶端收到服務器返回的 JWT 之后，通常會將它儲存在 localStorage 或 sessionStorage 中。

此后，客戶端每次與服務器通信，都要帶上這個 JWT 的字符串，從而進行身份認證。推薦的做法是 把 JWT 放在 HTTP 請求頭的 Authorization 字段中 ，格式如下：

5.7.1?安裝 JWT 相關的包

運行如下命令，安裝如下兩個 JWT 相關的包：

npm install jsonwebtoken express-jwt

其中：

• jsonwebtoken 用于生成 JWT 字符串
• express-jwt 用于將 JWT 字符串解析還原成 JSON 對象

5.7.2?導入 JWT 相關的包

使用 require() 函數，分別導入 JWT 相關的兩個包：

// TODO_01：安裝并導入 JWT 相關的兩個包，分別是 jsonwebtoken 和 express-jwt
// jsonwebtoken 用于生成 JWT 字符串
const jwt = require('jsonwebtoken')
// express-jwt 用于將 JWT 字符串解析還原成 JSON 對象
const { expressjwt } = require('express-jwt')

5.7.3?定義 secret 密鑰

為了 保證 JWT 字符串的安全性 ，防止 JWT 字符串在網絡傳輸過程中被別人破解，我們需要專門定義一個用于 加密 和 解密 的 secret 密鑰：

• ① 當生成 JWT 字符串的時候，需要使用 secret 密鑰對用戶的信息進行加密，最終得到加密好的 JWT 字符串
• ② 當把 JWT 字符串解析還原成 JSON 對象的時候，需要使用 secret 密鑰進行解密
• secret 密鑰的本質：就是一個字符串

// TODO_02：定義 secret 密鑰，建議將密鑰命名為 secretKey
const secretKey = 'itheima No1 ^_^'

5.7.4?在登錄成功后生成 JWT 字符串

調用 jsonwebtoken 包提供的 sign() 方法，將用戶的信息加密成 JWT 字符串，響應給客戶端：

// 登錄接口
app.post('/api/login', function (req, res) {// 將 req.body 請求體中的數據，轉存為 userinfo 常量const userinfo = req.body// 登錄失敗if (userinfo.username !== 'admin' || userinfo.password !== '000000') {return res.send({status: 400,message: '登錄失敗！'})}// 登錄成功// TODO_03：在登錄成功之后，調用 jwt.sign() 方法生成 JWT 字符串。并通過 token 屬性發送給客戶端// 參數 1：用戶的信息對象// 參數 2：加密的秘鑰// 參數 3：配置對象，可以配置當前 token 的有效期// 記住：千萬不要把用戶的登錄密碼加密到 token 字符串中const token = jwt.sign({username: userinfo.username,},secretKey,{expiresIn: '60s'})res.send({status: 200,message: '登錄成功！',token: token // 要發送給客戶端的 token 字符串})
})

5.7.5 將 JWT 字符串還原為 JSON 對象

客戶端每次在訪問那些有權限接口的時候，都需要主動通過 請求頭中的 Authorization 字段 ，將 Token 字符串發送到服務器進行身份認證。

此時，服務器可以通過 express-jwt 這個中間件，自動將客戶端發送過來的 Token 解析還原成 JSON 對象：

// TODO_04：注冊將 JWT 字符串解析還原成 JSON 對象的中間件
// expressjwt({ secret: secretKey, algorithms: ['HS256']}) 就是用來解析 token 的中間件
// .unless({ path: [ /^\/api\// ] })) 用來指定那些接口不需要訪問權限
// / ^\/api\/ / 以 /api/ 開頭 ^ 的接口都不需要訪問權限
// \ 表示轉義
// 注意：只要配置成功了 express-jwt 這個中間件，就可以把解析出來的用戶信息，掛載到 req.auth 屬性上
app.use(expressjwt({ secret: secretKey, algorithms: ['HS256'] }).unless({ path: [ /^\/api\// ] }))

5.7.6 使用 req.auth 獲取用戶信息

當 express-jwt 這個中間件配置成功之后，即可在那些有權限的接口中，使用 req.auth? 對象，來訪問從 JWT 字符串中解析出來的用戶信息了，示例代碼如下：

// 這是一個有權限的 API 接口
app.get('/admin/getinfo', function (req, res) {// TODO_05：使用 req.auth 獲取用戶信息，并使用 data 屬性將用戶信息發送給客戶端console.log(req.auth)res.send({status: 200,message: '獲取用戶信息成功！',data: req.auth // 要發送給客戶端的用戶信息})
})

5.7.7 捕獲解析 JWT 失敗后產生的錯誤

當使用 express-jwt 解析 Token 字符串時，如果客戶端發送過來的 Token 字符串 過期 或 不合法 ，會產生一個 解析失敗 的錯誤，影響項目的正常運行。我們可以通過 Express 的錯誤中間件 ，捕獲這個錯誤并進行相關的處理，示例代碼如下：

// TODO_06：使用全局錯誤處理中間件，捕獲解析 JWT 失敗后產生的錯誤
app.use((err, req, res, next) => {// 這次錯誤是由 token 解析失敗導致的if (err.name === 'UnauthorizedError') {console.log('token 過期了。')return res.send({status: 401,message: '無效的token'})}res.send({status: 500,message: '未知的錯誤'})
})