我为一个Web服务器编写了一个JS脚本，使用passport和digest策略进行身份验证。我没有使用会话，但是我尝试过使用会话，结果并没有改变。浏览器请求“/login”路由并显示内置的登录对话框。身份验证运行良好，但我无法让用户“注销”。问题似乎是浏览器记住了登录凭据，并自动重新发送它们。最终结果是用户必须完全关闭浏览器才能退出登录，但这对于此应用程序来说是个问题。我知道一定有方法可以告诉浏览器不要这样做，但我还没有弄清楚。
我想出了一个窍门，让浏览器再次显示登录对话框；强制身份验证函数返回false。但是，我还没有找到每个会话单独处理此项操作的方法。现在，如果一个人注销登录，所有人都会被注销。这不是可行的解决方案。
有没有人告诉我在这里做错了什么？我想知道的一件事是，当浏览器POST到/logout路由时，我是否返回了适当的响应（请参见结尾）。我返回res.json("")，但也许我应该发送不同的响应来告诉浏览器忘记会话的凭据？
以下是我的代码。非常感谢您提供任何见解。提前致谢。
T
var passport = require('passport'),
DigestStrategy = require('passport-http').DigestStrategy;
var express = require('express');
var app = express();
app.configure(function () {
app.use(
"/", //the URL throught which you want to access to you static content
express.static('./www') //where your static content is located in your filesystem
);
app.use(express.cookieParser());
app.use(express.bodyParser());
app.use(express.session({ secret: 'keep moving forward' }));
app.use(passport.initialize());
app.use(passport.session());
app.use(app.router);
});
app.listen(80); //the port you want to use
/**
* CORS support.
*/
app.all('*', function(req, res, next){
if (!req.get('Origin')) return next();
// use "*" here to accept any origin
// For specific domain, do similar: http://localhost'
// Use an array for multiple domains, like [http://localhost', 'http://example.com' ]
res.set('Access-Control-Allow-Origin', '*' );
res.set('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE');
res.set('Access-Control-Allow-Headers', 'X-Requested-With, Content-Type, Authorization');
next();
});
//
// Configure passport authentication
//
// Used to force the browser to display the login screen again.
var forceLogin = false;
passport.use(new DigestStrategy({ qop: 'auth' },
function(username, done ) {
if ( !forceLogin )
{
return done(null, username, "nimda");
}
else
{
//
// Forces the browser to request the user name again by returning a failure to its last request.
//
console.log ( "forcing user to log in" );
forceLogin = false;
return done(null, false);
}
));
passport.serializeUser(function(user, done) {
console.log( "serialize user " + user.toString() );
done(null, user.toString());
});
passport.deserializeUser(function(id, done) {
console.log( "deserialize user " + id.toString() );
done(null, id);
});
app.post('/login', passport.authenticate('digest', { session: true }),
function(req, res) {
console.log( "/login");
res.header('Cache-Control', 'no-cache, private, no-store, must-revalidate, max-stale=0, post-check=0, pre-check=0');
res.json({ id: req.user.id, username: req.user.username });
});
app.post('/logout', function(req, res){
req.logOut();
// NOTE: Same results as req.logout
//
// req.session.destroy(function (err) {
// res.redirect('/');
// });
res.redirect("/");
// flag to force a login
forceLogin = true;
console.log( "logout");
// Is this the proper return to the browser?
return res.json("");
});
forceLogin是一个非常糟糕的主意，因为它将在所有用户的所有请求之间共享。 - Leonid Beschastnyapp.get('/logout')吧？http://passportjs.org/guide/logout/ - ashleyapp也是一个全局变量。因此，使用app.set/app.get与使用全局变量是一样的。res.session是存储特定于会话的数据的正确位置。 - Leonid Beschastny