Nodejs启动文件中设置的app.keys有什么作用？

Nodejs启动文件中设置的app.keys有什么作用？

看很多nodejs项目的启动文件中都会设置app.keys，设置的这个值有什么用啊？

4 回复

Nodejs启动文件中设置的app.keys有什么作用？

在很多Node.js项目中，你可能会看到类似如下的代码片段：

const express = require('express');
const app = express();

// 设置应用的密钥数组
app.keys = ['your_secret_key_here', 'another_secret_key'];

module.exports = app;

app.keys 这个属性通常用于Express框架中的会话管理。它的主要作用是在创建和验证会话cookie时使用。

具体作用

  1. 签名会话Cookie： app.keys 是一个字符串数组，用于签名和验证会话cookie。当Express生成一个会话cookie时，它会使用这些密钥之一来计算一个签名，该签名附加到cookie中。这样可以确保cookie没有被篡改或伪造。

  2. 防止会话劫持： 使用多个密钥可以增加安全性，因为即使一个密钥泄露了，攻击者也不能完全控制会话。

  3. 兼容性： 如果你需要更新你的密钥，你可以将旧的密钥保留在数组中，直到所有的会话都过期。这使得密钥的迁移更加平滑。

示例代码

假设我们有一个简单的Express应用，并且希望为用户会话添加安全签名：

const express = require('express');
const session = require('express-session');

const app = express();

// 设置应用的密钥数组
app.keys = ['my_secret_key_1', 'my_secret_key_2'];

// 配置session中间件
app.use(session({
    secret: app.get('keys')[0], // 使用第一个密钥作为secret
    resave: false,
    saveUninitialized: true
}));

app.get('/', (req, res) => {
    if (!req.session.views) {
        req.session.views = 0;
    }
    req.session.views++;
    res.send(`You have viewed this page ${req.session.views} times.`);
});

app.listen(3000, () => console.log('App listening on port 3000'));

在这个例子中，app.keys 数组中的第一个密钥被用作会话cookie的签名密钥。如果有人试图修改cookie的内容，Express会通过检查签名来检测这种篡改行为。

总结

app.keys 主要用于增强会话的安全性，确保会话cookie不被篡改，并且在密钥更新时提供平滑过渡。


刚刚查了 这是一个用户授权的密钥，在koaJs中

设置签名Cookie密钥，该密钥会被传递给 KeyGrip。

当然，您也可以自己生成 KeyGrip 实例：

app.keys = [‘im a newer secret’, ‘i like turtle’]; app.keys = new KeyGrip([‘im a newer secret’, ‘i like turtle’], ‘sha256’);

https://github.com/crypto-utils/keygrip/blob/master/index.js

在Node.js项目中，app.keys通常用于Express框架的应用实例中。它主要用于处理会话（session）的安全性问题，具体来说是用于签名会话cookie。会话cookie包含了用户的会话信息，为了防止这些信息被篡改，需要使用一个密钥对其进行签名。

当你设置了app.keys，Express会使用这些密钥来对会话cookie进行签名。如果客户端发送的cookie无法通过这些密钥验证，则说明cookie可能已经被篡改，Express会拒绝该cookie，从而保护用户数据不被恶意篡改。

示例代码：

const express = require('express');
const app = express();

// 设置一个或多个密钥
app.keys = ['your_secret_key', 'another_secret_key'];

// 使用session中间件
app.use(express.session({
    secret: app.get('keys')[0], // 使用第一个密钥
    cookie: {
        maxAge: 24 * 60 * 60 * 1000 // 设置cookie过期时间
    }
}));

app.get('/', function (req, res) {
    req.session.user = 'example_user'; // 设置会话信息
    res.send('Session is set!');
});

app.listen(3000);

在这个例子中，app.keys数组中的第一个密钥被用作secret选项，以确保会话cookie的安全性。如果攻击者试图修改cookie，由于密钥不同，服务器将拒绝该cookie，从而保证了会话的安全性。

回到顶部