1. 开场白

用户体系是许多网站的基本。这篇文章重要就是解说如何写一个基于Node的单页运用的用户体系，这个用户体系的功用包括：注册，登录，自动登录，遗忘暗码，修正暗码，邮件激活。
假如运用在后端运用模板引擎，而不是用前后端星散的计划，用户体系貌似没有那末庞杂。在这个Nodejs教程内里已引见得很细致了（这是个不错的Nodejs教程）。然则假如挑选前后端星散的计划，比方像接下来要引见的SPA，那用户体系又该怎样处置惩罚呢？模板引擎的计划内里，事实上session/cookie上都做了封装，所以操纵起来相对简朴。但后者则不一样，它须要我们关于HTTP相干的观点有越发清楚的熟悉。要求会越发仔细。

2. 基本学问

下面先引见一下一些基本的学问。说得不会许多，然则关于完全明白Cookie，Session全部Authentication的机制异常重要。

2.1 HTTP

2.1.1 Cookie & Session

尽人皆知，HTTP是无状况的协定。这个的意义就是说，假如发送两个完全一样的要求，那末收到的响应也会完全相同。然而在实际生活中，这显著不符合许多场景。由于每个人虽然都点击了按钮，但我是Harry，她是Clara，我们应当收到差别的内容。服务器须要对我们做出辨别，这时刻cookie就上台了。我发出要求，服务器在响应内里加一个Set-Cookie，到我们浏览器里设了一个cookie（点开devtool->Application->Cookies检察），下一次发送要求的时刻，我的header内里就带有cookie了，服务器看到cookie，就晓得我是Harry了。如许就完成了一次认证。
然则接下来另有一个题目：服务器资本极为珍贵，假如每次都认证会形成资本糟蹋。加上，假如我愿望能够临时性地在当前会话存储一些信息，存储在cookie会显得异常糟蹋。因而session就来了。
session就是当前用户的回话信息。它须要用到cookie，但不须要把一切信息都放在cookie内里，它须要的只是一个标示。
session的信息是存储在服务器上的，能够存在缓存里，数据库里或许相似Redis之类的东西里（没用过..）。举个例子，Express-session内里的session的标示是一个名字为connect.sid的cookie。这个cookie是随机天生的举世无双的序列码，每次用户提议要求的时刻，cookie随着到了服务器上去。服务器搜检一下用户的connect.sid，然后从内存，缓存，数据库或许Redis内里找到响应的信息，然后经由历程中间件进一步加到要求内里。如许服务器就能够运用专属于这个用户的信息而不再须要屡次考证了。
因而cookie是全部用户机制的中心，下面简朴引见一下相干的header。

2.1.2 Set-Cookie

Set-Cookie是request的header。header的花样是NAME=VALUE然后用分号‘;’分开开来。
其中有几个设置比较经常使用：

• expires=Date (设置cookie的到期时候)

• secure (仅仅只在https下运用)

• HttpOnly (使得cookie不能被客户端JavaScript修正)

• maxAge （cookie的坚持时候，以毫秒为单元）

2.2 Node.js

关于cookie

读取和设置cookie在Nodejs内里都很轻易，在Express内里增添中间件cookie-parser，能够把cookie对象直接赋给req。在路由回调函数内里操纵的时刻，直接用req.cookie就能够获取到客户端的cookie值。
而设置客户端的cookie则须要用res.cookie函数来设置：

// 把cookie内里的name值设为name
res.cookie('name', name, {
  maxAge: 1000 * 60 * 60 * 24 * 30,
  path:'/',
  httpOnly: false
})

session机制

Express的session完成须要一个中间件：

var session = require('express-session')
app.use(session({
    secret: settings.cookieSecret, // 设置暗码“种子”
    store: new MongoStore({
      url: 'mongodb://localhost/color' // 这里用了数据库存储session，假如不设置就会用内存
    }),
    resave: true,
    saveUninitialized: true
}))

有关session的运用Nodejs教程内里有引见，具体来讲，比方用户登录以后，能够设置 req.session.user = "harry", 然后以后的一切须要用到用户登录的场景都能够先推断一下req.session内里有无user这一项。如许就完成了一次辨别，而不须要再次考证。

2.3 前端

在这里的预设是要做一个单页运用。假如运用模板引擎，运用render很轻易就能够完成登录等等的功用，但假如要写一个前后端星散的运用，比方一个SPA，那就不能不运用AJAX来收发用户信息。
不论运用什么库来收发AJAX，有一点是须要注重的：那就是发送的AJAX要求要包括credentials: 'include' 以保证cookie能够被照顾发送到后端，不然后端的req.cookie不会收到。

3. 实例解说

3.1 确认

关于须要确认用户已登录了才能够运用的路由，须要加一个中间件。这个中间件的作用是搜检req.session.user是否是已定义了。一般来讲，在用户登录以后都须要设置一下req.session.user，以示意处于登录的状况。

function authorize(req, res, next) {
  if(req.session.user) {
    next()
  } else {
    res.status(401).send({errorMsg: "Unauthorize"})
  }
}

3.2 注册

关于一个注册的历程来讲须要有以下的一些步骤。收到用户的用户名，邮箱以后，要在数据库内里找一下，假如找到了同名或许用邮箱的，就要示知用户，重名了。假如没有重名，就发送邮件到邮箱中举行考证，同时建立一个未激活的账户。
另一个要注重的点就是暗码的存取最好不要直接存入，引荐是先加密。
这里触及到了多重嵌套的异步，能够运用我之前写的这篇文章的co，也能够用async/await。用回调函数来写后期看起来会很费劲…

function *registerGen(req, res, newUser) {
  try {
    // 看有无重名的
    const userOfSameName = yield new Promise(function(resolve, reject) {
      User.get("NAME", req.body.name, function(err, user) {
        if(err) reject(err)
        resolve(user)
      })
    })
    // 看是否是统一邮箱又想反复注册
    const userOfSameEmail = yield new Promise(function(resolve, reject) {
      User.get("EMAIL", req.body.email, function(err, user) {
        if(err) reject(err)
        resolve(user)
      })
    })
    
    // 假如是以上两种状况，就发送毛病信息。
    if(userOfSameName) {
      return res.status(200).send({ errorMsg: "此账户名已被注册。"})
    } else if (userOfSameEmail) {
      return res.status(200).send({ errorMsg: "此邮箱已被注册。"})
    }

    // 胜利的话就新建一个未激活的账户
    yield new Promise(function(resolve, reject) {
      newUser.save(function(err, user) {
        if(err) {
          console.log("Register error:" ,err)
          reject(err)
        }
        resolve(user)
      })
    })

    // 发送激活邮件
    yield new Promise(function(resolve, reject) {
      
      const nameHash = crypto.createHmac('sha256', SECRET)
                         .update(req.body.name)
                         .digest('hex')

      const emailHash = crypto.createHmac('sha256', SECRET)
                          .update(req.body.email)
                          .digest('hex')
     
      const base = "http://colors.harryfyodor.tk/activate/"

      // 翻开这一段链接以后会能够经由历程马上提议一个ajax来更新数据库，激活账户。
      const link = `${base}${req.body.name}/${nameHash}|${emailHash}`

      User.activate({
        subject: 'Colors 考证邮件',
        html: '假如您并没有注册Colors，请疏忽此邮件。点击下面链接激活账户。<br>\
                <a href=' + link + ' target="_blank">激活链接</a>',
        to: req.body.email
      }, function(err) {
        if(err) reject(err)
        res.send({ ok: true })
        resolve()
      })
    })
    
  } catch(e) {
    // 假如有毛病就在这里提议，轻易debug
    return res.status(500).send({ msg: "ERROR"})
    console.log('Error ', e)
  }
}

function register(req, res) {
  
  // 暗码须要先加密，不引荐明文存储。
  var md5 = crypto.createHash('md5'),
      password = md5.update(req.body.password).digest('hex');

  // 建立用户，这里的User是model（后端MVC的M）的一个组织函数。
  var newUser = new User({
    name: req.body.name,
    password: password,
    email: req.body.email
  })

  // 用co函数来完成同步写法写异步
  co(registerGen(req, res, newUser))
}

3.3 上岸

用户登录须要有以下的步骤，代码就不细致叙说了。这内里须要异常烦琐的推断语句，然则明白起来异常简朴。

3.4 邮件关照

激活用户须要用到nodemailer这个库，异常轻易，用起来也异常简朴。能够上官网看。假如运用163邮箱作为发件的邮箱，有一点要分外注重，那就是暗码处如果网易的受权暗码。这一个须要在163邮箱内里本身设置，然后代码里就用那一个受权暗码。这一点须要分外注重。

function sendEmail(detail, callback) {
  var config_email = {
    host: 'smtp.163.com',
    post: '25',
    auth: {
      user: 'example@163.com',
      pass: '**********' // 这个暗码不是邮箱暗码，请先到邮箱内里设置受权暗码。
    }
  }

  var transporter = nodemailer.createTransport(config_email)
  var data = {
    from: config_email.auth.user,
    to: detail.to,
    subject: detail.subject,
    html: detail.html
  }

  // 异步发送邮件
  transporter.sendMail(data, function(err, info) {
    if(err) {
      console.log("SendEmail Error", err)
      callback(err)
    } else {
      console.log("Message sent:" + info.response)
      callback(null);
    }
  })
}

4.总结

固然，这一个用户登录体系依然另有许多要革新的处所（比方安全题目等等）。除此之外，在功用上另有不少须要增添的。比方修正暗码，比方替换暗码等等，看了上面的内容，实在要完成这些功用也是异常简朴的一件事了。
假如感兴趣的话能够看看我本身写的一个网站，Colors，这是一个基于React和Nodejs的网站，有完全的用户体系，假如没有什么眉目的话能够参考一下~

假如文章中有什么毛病或许不妥的处所，迎接指出，相互交流学习~谢谢浏览~