Node.js登录功能实现方案咨询：现有代码存疑求优化

• 全局状态共享：let allow = false是全局变量，所有访问服务器的用户会共用这个状态。只要有一个用户登录成功，所有用户都会被判定为已登录，完全不具备用户隔离性。
• 密码明文存储与比对：直接存储和比对明文密码，一旦数据库泄露，用户密码会直接暴露，严重违反安全规范。
• 未处理异常与边界情况：当USER_MODEL.findOne没找到用户时，userList为null，此时访问userList.name会抛出TypeError，导致请求崩溃。
• 无持久化会话：服务器重启后，allow会重置为false，用户需要重新登录；且无法在多个请求间保持用户身份（比如用户打开新标签页就会被踢回登录页）。
• 根路由无响应内容：app.get("/")只做了重定向判断，没有返回实际页面内容。

下面基于Express + MongoDB，给出标准的登录实现流程：

1. 依赖准备 #

需要安装必要的包：

npm install express mongoose bcryptjs express-session connect-mongo

• bcryptjs：用于密码哈希存储与验证
• express-session：处理用户会话
• connect-mongo：将会话存储到MongoDB，实现会话持久化

2. 基础配置（数据库、会话） #

const express = require('express');
const mongoose = require('mongoose');
const bcrypt = require('bcryptjs');
const session = require('express-session');
const MongoStore = require('connect-mongo');
const app = express();

// 连接MongoDB
mongoose.connect('mongodb://localhost:27017/your-db-name')
  .then(() => console.log('数据库连接成功'))
  .catch(err => console.error('数据库连接失败:', err));

// 配置会话
app.use(session({
  secret: 'your-secret-key-here', // 用于签名会话ID，建议用环境变量存储
  resave: false,
  saveUninitialized: false,
  store: MongoStore.create({ mongoUrl: 'mongodb://localhost:27017/your-db-name' }),
  cookie: {
    maxAge: 24 * 60 * 60 * 1000 // 会话有效期1天
  }
}));

// 解析表单数据
app.use(express.urlencoded({ extended: true }));
// 静态文件托管（如果需要）
app.use(express.static(__dirname));

3. 用户模型（修改为密码哈希存储） #

const userSchema = new mongoose.Schema({
  name: { type: String, required: true, unique: true },
  password: { type: String, required: true }
});

// 保存用户前自动哈希密码
userSchema.pre('save', async function(next) {
  if (!this.isModified('password')) return next();
  this.password = await bcrypt.hash(this.password, 10);
  next();
});

// 添加密码验证方法
userSchema.methods.comparePassword = async function(candidatePassword) {
  return await bcrypt.compare(candidatePassword, this.password);
};

const USER_MODEL = mongoose.model('User', userSchema);

4. 登录与路由实现 #

// 登录页面路由
app.get('/login', (req, res) => {
  // 如果已登录，直接跳转到首页
  if (req.session.userId) {
    return res.redirect('/');
  }
  res.sendFile(__dirname + '/login.html');
});

// 登录请求处理
app.post('/login', async (req, res) => {
  const { username, password } = req.body;

  try {
    // 查找用户
    const user = await USER_MODEL.findOne({ name: username });
    if (!user) {
      // 用户不存在，返回登录页并提示错误（可通过模板渲染或查询参数传递）
      return res.redirect('/login?error=user_not_found');
    }

    // 验证密码
    const isPasswordValid = await user.comparePassword(password);
    if (!isPasswordValid) {
      return res.redirect('/login?error=wrong_password');
    }

    // 登录成功，将用户ID存入会话
    req.session.userId = user._id;
    res.redirect('/');
  } catch (err) {
    console.error('登录错误:', err);
    res.redirect('/login?error=server_error');
  }
});

// 首页路由
app.get('/', async (req, res) => {
  // 未登录则跳转到登录页
  if (!req.session.userId) {
    return res.redirect('/login');
  }

  // 获取当前登录用户信息（可选）
  const user = await USER_MODEL.findById(req.session.userId).select('-password');
  // 返回首页内容，这里示例直接返回文本，实际可渲染模板
  res.send(`欢迎回来，${user.name}! <a href="/logout">退出登录</a>`);
});

// 退出登录路由
app.get('/logout', (req, res) => {
  // 销毁会话
  req.session.destroy(err => {
    if (err) {
      return res.redirect('/');
    }
    res.clearCookie('connect.sid'); // 清除会话Cookie
    res.redirect('/login');
  });
});

app.listen(3000, () => console.log('服务器运行在http://localhost:3000'));

关键改进点说明 #

• 会话隔离：使用express-session为每个用户创建独立会话，通过req.session.userId存储用户身份，实现用户间的状态隔离。
• 密码安全：用bcryptjs对密码进行哈希存储，永远不存储明文密码；验证时通过哈希比对，避免明文泄露风险。
• 异常处理：用try/catch捕获数据库操作和密码验证的异常，避免请求崩溃。
• 边界情况处理：判断用户是否存在、密码是否正确，并给出对应的错误提示。
• 会话持久化：通过connect-mongo将会话存储到MongoDB，服务器重启后用户无需重新登录。

内容的提问来源于stack exchange，提问作者Shanxx