关于 express 的 session 必须了解的同步问题（Nodejs版）

关于 express 的 session 必须了解的同步问题（Nodejs版）

问题背景

在开发过程中遇到的一个奇怪的 Bug：用户在输入验证码时，无论怎样，第一次输入的验证码总是错误的。

Express Session 运作流程

为了理解这个问题，我们需要了解 express 中的 session 的运作机制。session 的解析依赖于 cookieParser，它首先从 Cookie 中读取加密的 connect.sid，然后通过 cookieParser 解析成一个对应的 session id，该 session id 保存在 req.sessionID 中（因此 cookieParser 中间件应该放在 session 之前）。

express.session 使用的是 connect 的 session 中间件。该中间件在起作用时，通过 session 的 Store 对象来读取当前的 session 数据。当多个请求并发过来时，它们会共享同一个 session 数据。每个请求在 res.end() 时会自动保存一次 session 数据（也可以通过 req.session.save() 主动保存）。

问题分析

问题的核心在于并发请求时 session 数据的重复写入。具体来说，当用户请求验证码时，验证码的数据被保存到 session 中。然而，在后续的请求（如加载静态资源）中，这些请求也会尝试保存 session 数据，从而覆盖掉之前的验证码数据。

示例代码

const express = require('express');
const session = require('express-session');
const cookieParser = require('cookie-parser');

const app = express();

// 配置 cookieParser 和 session
app.use(cookieParser('your-secret-key'));
app.use(session({
  secret: 'your-secret-key',
  resave: false,
  saveUninitialized: true,
  cookie: { secure: false } // 在生产环境中应设置为 true
}));

// 验证码生成逻辑
app.get('/captcha', (req, res) => {
  const captcha = generateCaptcha(); // 假设这是一个生成验证码的函数
  req.session.captcha = captcha;
  res.send(captcha);
});

// 处理验证码输入的 POST 请求
app.post('/verify', (req, res) => {
  const userCaptcha = req.body.captcha;
  if (userCaptcha === req.session.captcha) {
    res.send('验证码正确');
  } else {
    res.send('验证码错误');
  }
});

// 静态资源处理
app.use(express.static(__dirname + '/public'));

// 启动服务器
app.listen(3000, () => {
  console.log('Server is running on port 3000');
});

解决方案

1. 将静态资源处理前置： 将处理静态资源的中间件放在 session 中间件之前，确保静态资源不会影响 session 数据。

   app.use(express.static(__dirname + '/public')); // 读取静态资源在前
   app.use(cookieParser('your-secret-key'));
   app.use(session({ ... })); // session 在后
   

2. 设置 session 的 ignore： 如果无法将静态资源处理前置，可以配置 session 中间件忽略某些路径。

   session.ignore.push('/individual/path');
   app.use(session({ ... }));
   

3. 在不需要 session 的地方设置 req.session = null： 如果某个请求不需要操作 session，可以在调用 res.end 之前将 req.session 设置为 null。

   if (!needsSessionHandling(req)) {
     req.session = null;
   }
   

总结

确保 session 相关的操作尽可能地放在 POST 请求中处理，或者通过合理的配置避免并发请求对 session 数据的干扰。