Node.js Zarządzanie sesjami

Question

Witam, posiadam server na node.js / express z sesjami zapisywanymi w ciasteczkach, jeśli trzeba będzie zmienić sposób zapisu sesji to nie ma problemu, ale wolałbym nie.

 

W jaki sposób zarządzać sesjami tak aby np. zniszczyć wszystkie sesje danego użytkownika? Załóżmy że komuś się włamali na konto i po zmianie hasła chce aby wszystkie poprzednie sesje przestały istnieć, jak tego dokonać?

 

Obecne rozwiązanie wygląda tak że przy tworzeniu sesji jest dodawana do tablicy z sesjami wraz z id użytkownika np:

{
session : session,
id : 'USERNAME'
}

jeśli ktoś da np. "Zniszcz wszystkie aktywne sesje" to ta tablica z obiektami jest iterowana i wszystkie sesje z nazwą użytkownika np. "USERNAME" są niszczone metodą destroy()

Dziala? Działa, ale nie wiem czy tak to powinno wyglądać

Answer 1

Jak najbardziej taki sposób jest poprawny. Jedyny problem, jaki widzę, to taki, że w chwili, gdy aplikacja z jakiegoś powodu się wyglebi, to wszyscy użytkownicy zostaną wylogowani. Mimo wszystko tego typu informacje warto trzymać w jakiejś bazie danych, dzięki czemu dane są trwałe.

Można też pokusić się o usunięcie ciasteczka, jeśli zawiera dane o sesji, której nie ma w bazie. Nie jest to konieczne, ale… eleganckie ;)

Answer 2

Zależy od tego jakiej biblioteki używasz.

Możesz to zrobić w następujący sposób:

1. app.use(cookieParser());

2. res.cookie('cookiename', 'cookievalue', { maxAge: 999999}); // cookievalue może być jako object(tak jak potrzebujesz)

3. aby usunąć ciasteczko odnosisz się do tej samej nazwy czyli:

res.clearCookie('cookiename');

4. Jeżeli chcesz wszystkie naraz to nie wiem czy jest konkretnie taka metoda:

jeśli potrzebujesz zrobić to od strony frontu to możesz spróbować

1.https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/cookies/remove

2. https://www.npmjs.com/package/delete-all-cookies

Od strony backendu to może po prostu przejdziesz przez wszystkie ciasteczka używając req.cookies.

Comments

1.https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/cookies/remove

Tylko, że ta metoda jest dostępna z poziomu wtyczki do przeglądarki, a nie bezpośrednio z poziomu strony - tam do dyspozycji jest document.cookie.