Question

我正在使用连接- Mysql-session 将会话存储在 db 中。现在,我的问题是, 我如何添加包含浏览器代理和 ip- address 的用户数据来检查会话是否有效? 我如何获取该信息? 我如何检查它是否匹配?

    users.login(credentials,function(err, results) {

  //On errors
  if (err) {
    res.render(routes.index, {
      title:  Login 
    });

  //On success
  } else if (results[0]) {
    //Set session data and redirect to start page
    req.session.userdata = results[0];
    req.session.userdata.email = req.body.email_login;
    req.session.is_logged_in = true;
    res.redirect( /start );

  //Wrong credentials
  } else {
    req.flash( warning , Wrong password or login );
    res.render( index , {
      title:  Login 
    });
  }
});

<强> 更新:

现在我又把这个加到会议里了:

req.session.ip = req.connection.remoteAddress;
req.session.useragent = req.headers[ user-agent ];

并检查它在我的经认证的中间器械:

  if(req.session.userdata && req.session.is_logged_in === true && req.session.ip === req.connection.remoteAddress && req.session.useragent === req.headers[ user-agent ]) {
    next();
  } else {
    res.redirect( / );
  }

这是安全的,还是你看到任何风险与此吗?

Answer 1

你的执行看起来不错, 并且会给你一些,非常基本的保护,以免被劫持。

然而,我不知道我是否理解您的中继软件。为什么用户无法直接请求 < code>/ start ? 更重要的是, 当中继软件拦截所有请求时, 即使是对 < code>/ start 的请求, 这看起来难道不像是无限的重定向环吗?

我的建议只是考虑在IP或用户代理器不匹配时,任何时候都登出一个用户登录。

友情链接