ExpressJS登录验证后跳转至/searchpage的实现方法问询

你的需求是：用户输入的邮箱和密码匹配数据库中存在的用户时，将信息存入session并跳转到/searchpage。现有代码存在多处问题，以下是问题分析和修复后的完整实现：

现有代码的问题 #

• SQL注入风险：直接通过字符串替换拼接SQL语句，恶意用户可构造输入篡改SQL逻辑，引发数据泄露或破坏。
• Session变量引用错误：代码里定义了var sess=req.session，但后续赋值用的是session.email，实际应使用req.session或sess。
• 未执行页面跳转：登录成功后仅定义了route变量，未调用重定向方法完成跳转。
• 语法不完整：回调函数和路由处理函数均未闭合，会导致运行报错。
• 密码安全隐患：若数据库存储明文密码，属于严重安全问题，应存储密码哈希值，验证时比对哈希而非明文。

修复后的完整代码 #

app.post("/Logincheck", function(req, res) {
    const login_email_input = req.body.email_input;
    const login_password_input = req.body.password_input;

    // 使用参数化查询避免SQL注入
    const query = "SELECT COUNT(*) FROM users WHERE Email_value = ? AND Password = ?";
    server.query(query, [login_email_input, login_password_input], function(error, result) {
        if (error) {
            console.error(error);
            return res.send("<script>alert('服务器出错，请稍后重试。')</script>");
        }

        const rowCount = result[0]["COUNT(*)"];
        if (rowCount === 0) {
            res.send("<script>alert('用户不存在或密码错误，请重试。')</script>");
        } else {
            // 正确操作session
            req.session.email = login_email_input;
            // 注意：实际开发中不建议将密码存入session，此处仅按需求处理
            req.session.password = login_password_input;
            // 执行页面重定向
            res.redirect("/searchpage");
        }
    });
});

额外安全建议 #

• 禁止在数据库存储明文密码，使用bcrypt等工具对密码哈希后再存储，验证时通过bcrypt.compare()比对输入密码与数据库哈希值。
• Session只需存储用户ID、邮箱等必要标识，无需存储密码。
• 为Session配置合理的过期时间，提升账号安全性。

内容的提问来源于stack exchange，提问作者mrcihantokerxxx