node.js - 如何防止node.js应用程序中的 session 溢出？

Question

我有一个使用express框架的nodejs Web应用程序，并且可以通过互联网访问它。我正在使用一个 session 存储，它将 session 作为普通文件存储在磁盘上，并且在当前的实现中，每个没有 cookie 的请求都将获得一个新的 session ID，从而在磁盘上为新 session 生成一个新文件。

由于该应用程序可以通过互联网访问，因此我收到了很多无效请求，这些请求当然不会发送 cookie，而是在我的文件系统上产生更多 session ，这真是一团糟。

我使用 OWASP session 管理备忘单作为实现指南 ( https://www.owasp.org/index.php/Session_Management_Cheat_Sheet )，但它没有详细介绍访客 session 的主题。它仅表明应用程序可能会发现将 session 分配给未经身份验证的( guest )用户很有用，因此 guest session 通常似乎是一个有效的功能。

所以现在我不知道如何正确解决无效/恶意请求不必要地创建 session / session 文件的问题。有什么推荐的方法可以做到这一点吗？
我想到了可能将“访客” session 的非常短的过期时间(< 5 分钟)与 IP 范围的白名单或其他内容结合起来，其中不在白名单中的任何 IP 将不会收到访客 session (当然，一旦成功通过身份验证，就会收到 session )。

关于如何解决这个问题有什么建议吗？

Answer 1

无论您如何存储 session ，您都会遇到同样的问题。在某些时候，您的 session 存储将溢出(磁盘空间不足、内存不足、索引 Node 不足等)。

您需要做的是修剪您的 session 。除非您真的有能力无限期地存储 session ，否则您应该在 session cookie 上设置到期日期。对于客户端，浏览器将负责删除 cookie。对于服务器，您需要定期检查所有 session 以查看是否有过期的 session 。

接下来要做的事情很简单。无论您选择哪种技术来存储 session ，您只需删除过期的 session 即可。这可以在 Node 进程内(在某些 setTimeout() 处理程序内)或在 Node 进程外(可能是一个简单的日常 cron 作业)完成。

在删除过时的 session 文件之前，您应该留出一些宽限期(1 分钟、1 小时、1 天等)，以防止删除 session 文件和用户加载网站之间出现竞争情况。

您可能还希望允许用户在每次访问时刷新 session 到期日期。对于基于文件的 session 存储，这就像触摸文件以更新上次修改时间一样简单。

在一种情况下该策略不起作用。出于性能原因，某些数据库在删除数据时不会释放磁盘空间(例如 MySQL 和 InnoDB)。相反，数据只是被标记为已删除，但数据库不断增长。在这种情况下，您唯一的出路是更改 session 存储。但由于您使用的是文件存储，所以您不需要担心这个问题。