如何在原生Node.js中实现无需登录表单的用户身份验证

关于获取本地IPv4的疑问 #

你当前代码中获取的x-forwarded-for是经过NAT网关转发后的公网出口IP，同一局域网下所有用户对外都会共用这个IP，所以会出现身份混淆的问题。
正常web服务场景下无法稳定获取用户的本地IPv4地址：浏览器基于安全策略默认不会将本地IP信息主动上报给服务端，依赖特殊API获取的方案需要用户主动授权，会严重影响用户体验，不推荐往这个方向落地。

可行的无登录身份校验方案 #

• 方案1：客户端匿名标识存储（最适配博客场景） #

这是绝大多数无登录点赞功能采用的实现方案，逻辑如下：

1. 用户首次访问站点时，前端生成随机唯一字符串（可采用标准UUID格式），分别存入localStorage和有效期设置为1~10年的Cookie中
2. 所有点赞请求发起时，请求头自动携带该匿名标识
3. 后端存储点赞记录时，以「博文ID + 用户匿名标识」作为唯一索引，即可判断用户是否已对当前博文点赞
   优缺点：

• 实现成本极低，可100%区分同一局域网下的不同用户，全程无感知不需要用户授权，完全满足普通博客点赞的低敏感业务需求
• 仅在用户清除浏览器缓存、切换浏览器/设备、开启隐身模式时会丢失身份标识，允许同一用户重复点赞，对于博客类场景属于可接受范围

• 方案2：多特征组合兜底（补充优化） #

如果需要降低用户清缓存后身份重置的概率，可以额外组合多个客户端特征作为兜底标识：
将用户公网IP、User-Agent、系统时区、语言偏好等特征组合后计算哈希值，当用户本地存储的匿名标识丢失时，用该哈希值作为临时身份判断。该方案仍存在极小概率的同局域网用户误判，但能覆盖大部分清缓存的场景，降低重复点赞的概率。

• 方案3：浏览器设备指纹（无本地存储依赖） #

可以通过组合数十种浏览器环境特征（屏幕分辨率、字体列表、canvas指纹、webgl指纹等）生成唯一性较高的设备指纹，不需要在用户本地存储数据，也能区分不同设备。该方案在用户设备特征发生变化时会导致身份重置，存在约5%以内的误判概率，适合对身份精度要求不高的场景。 #

内容的提问来源于stack exchange，提问作者RolandHU