express-session - 是否可以在节点应用程序运行时更改秘密？

Question

通常 secret 是在使用 express-session -

const session = require("express-session")
let RedisStore = require("connect-redis")(session)
const { createClient } = require("redis")
let redisClient = createClient({ legacyMode: true })
redisClient.connect().catch(console.error)
app.use(
  session({
    store: new RedisStore({ client: redisClient }),
    saveUninitialized: false,
    secret: "keyboard cat",
    resave: false,
  })
)

显然我可以通过编辑源代码和 <一个href="https://nodejs.dev/learn/run-nodejs-scripts-from-the-command-line" rel="nofollow noreferrer">重新启动节点脚本。可以在应用程序仍在运行时更改它吗？

Answer 1

根据此处的指南，可以通过传递一组秘密而不是单个秘密，然后您可以 secrets.unshift(newSecret) 将新秘密放入数组中的第一个位置，同时继续接受已使用数组中其他秘密的 cookie。

因此，在您的代码中，您可以执行以下操作：

const session = require("express-session");

let RedisStore = require("connect-redis")(session);
const { createClient } = require("redis");
let redisClient = createClient({ legacyMode: true });
redisClient.connect().catch(console.error);

const secrets = ["keyboard cat"];

app.use(
  session({
    store: new RedisStore({ client: redisClient }),
    saveUninitialized: false,
    secret: secrets,
    resave: false,
  })
);

然后，稍后在代码中，您可以像这样更新当前使用的秘密：

secrets.unshift("my new secret");

会话中间件将始终在新会话的数组开头使用该秘密，但会继续接受使用数组中其他机密的 cookie。

我的动机是我将大部分代码放在 github 上，并且我不喜欢硬编码任何密码或秘密。

如果这是您的动机，那么通常，您会将会话作为某些配置/部署文件的秘密部分，该文件不会签入 github 并单独管理。这与您放置服务器所需的数据库密码和其他凭据的配置文件类型相同。这样，当您的服务器启动时，它会从未存储在 github 中的本地配置文件获取所需的凭据/秘密。

然后，您也不必尝试动态更改正在运行的会话中间件机密。

---

既然您提到了 Heroku，下面是 Heroku 提到的用于管理配置变量的技术：

https:// devcenter.heroku.com/articles/config-vars