node.js - Node 快速 session - secret 是否需要以某种方式独一无二？

Question

所以我正在使用 express-session https://github.com/expressjs/session我想知道这个 secret 是否需要对每个用户都是唯一的。我似乎找不到任何说明它的用途，因为它只列出了用法:

app.use(session({
  secret: 'keyboard cat',
  resave: false,
  saveUninitialized: true,
  cookie: { secure: true }
}))

我目前只是使用 bcrypt 创建 key ，但我不确定这是否会在我更新服务器文件时影响 session 。

var salt1 = bcrypt.genSaltSync();
var salt2 = bcrypt.genSaltSync();
var secret = bcrypt.hashSync(salt1 + salt2, 10);
app.use(session({
    secret, // set this to a long random string!,
}));

session 是否应该在函数内部生成，即 function generateSession()

Answer 1

secret 对所有用户都是一样的。您提供的“ secret ”只是作为 session 哈希函数的盐。您使用的方法与任何方法一样好，因为它会在每次重新启动应用程序时生成新的盐。