mm_session 1.6.0 → 1.6.1

package/lib/helper.js

@@ -47,28 +47,25 @@ Helper.prototype.aesDecode = function (text, key, iv) {
 
 
 /**
- * 生成session ID的密钥
- * @param {string} user_agent 用户代理字符串
- * @returns {string} 密钥
+ * 从key派生IV（固定派生，不依赖user_agent）
+ * @param {string} key 密钥
+ * @returns {string} IV（16字节）
  */
-Helper.prototype._getSecret = function (user_agent = 'mm') {
-  // md5方法由mm_expand模块提供
-  return user_agent.md5().substring(0, 16);
+Helper.prototype._getIvFromKey = function (key) {
+  return key.md5().substring(0, 16);
 };
 
 /**
  * 生成session ID
  * @param {string} key 密钥
  * @param {string} ip 客户端IP
- * @param {string} user_agent 用户代理字符串
+ * @param {string} user_agent 用户代理字符串（不再用于IV，仅保留参数兼容）
  * @param {number} uuid_expire 过期时间（秒）
  * @returns {string} session ID
  */
 Helper.prototype.genId = function (key, ip, user_agent = 'mm', uuid_expire = 604800) {
-  // 生成session ID的初始化向量
-  var iv = this._getSecret(user_agent);
+  var iv = this._getIvFromKey(key);
   var end_time = new Date().addSeconds(uuid_expire).stamp();
-  // 加密
   var uuid = this.aesEncode(ip + '_' + end_time, key, iv);
   return uuid;
 };
@@ -77,15 +74,15 @@ Helper.prototype.genId = function (key, ip, user_agent = 'mm', uuid_expire = 604
  * 解析session ID
  * @param {string} key 密钥
  * @param {string} uuid session ID
- * @param {string} user_agent 用户代理字符串
+ * @param {string} user_agent 用户代理字符串（不再用于IV，仅保留参数兼容）
  * @returns {object} 解析结果
  */
 Helper.prototype.parseId = function (key, uuid, user_agent = 'mm') {
-  var iv = this._getSecret(user_agent);
+  var iv = this._getIvFromKey(key);
   var dec = this.aesDecode(uuid, key, iv);
   var parts = dec.split('_');
   if (parts.length !== 2) {
-    throw new Error('Invalid session ID format');
+    return null;
   }
   return {
     ip: parts[0],

package/lib/session.js

@@ -25,7 +25,7 @@ class Session {
     uuid_expire: 60 * 60 * 24 * 7,
     max_age: 60 * 60 * 2,
     expired_handling: 'reject',
-    options: {},
+    options: { path: '/' },
   };
 
   /**
@@ -83,30 +83,23 @@ Session.prototype.middleware = function () {
  * @returns {object} session对象
  */
 Session.prototype.get = async function (ctx) {
-  // 获取协议头信息
   let { ip, user_agent } = this._getHeaderInfo(ctx);
-  // 获取session ID
   let session_id = this.getId(ctx);
 
-  // 验证session ID标识的有效性
   if (session_id) {
     let is_valid = await this._checkSessionId(session_id, ip, user_agent);
     if (!is_valid) {
-      // token验证失败，返回null创建新session
       session_id = null;
     }
   }
 
-  // 获取session对象
   let session = await this._get(session_id);
 
   if (!session.uuid) {
     session.uuid = this._genId(ip, user_agent);
   }
-  // 创建session代理对象
+  this._bindSessionMethods(session, ctx);
   ctx.session = this._create(session);
-  // 追加方法
-  this._addMethod(ctx);
   return ctx.session;
 };
 
@@ -120,6 +113,9 @@ Session.prototype._handle = async function (ctx, next) {
   await this.get(ctx);
   await next();
   await this._save(ctx, session_id);
+  if (ctx.session) {
+    this._setCookie(ctx, ctx.session.uuid);
+  }
 };
 
 /**
@@ -128,24 +124,21 @@ Session.prototype._handle = async function (ctx, next) {
  * @returns {string} 客户端IP地址
  */
 Session.prototype._getClientIP = function (ctx) {
-  // 优先从ctx.ip获取
+  var ip;
   if (ctx.ip) {
-    return ctx.ip;
-  }
-  
-  // 从X-Forwarded-For头部获取（代理服务器场景）
-  if (ctx.headers['x-forwarded-for']) {
-    const ips = ctx.headers['x-forwarded-for'].split(',');
-    return ips[0].trim();
+    ip = ctx.ip;
+  } else if (ctx.headers['x-forwarded-for']) {
+    ip = ctx.headers['x-forwarded-for'].split(',')[0].trim();
+  } else if (ctx.headers['x-real-ip']) {
+    ip = ctx.headers['x-real-ip'];
+  } else {
+    ip = '127.0.0.1';
   }
-  
-  // 从X-Real-IP头部获取
-  if (ctx.headers['x-real-ip']) {
-    return ctx.headers['x-real-ip'];
+  // 归一化本地回环地址，避免 IPv6/IPv4 格式差异导致校验失败
+  if (ip === '::1' || ip === '::ffff:127.0.0.1' || ip === 'localhost') {
+    ip = '127.0.0.1';
   }
-  
-  // 默认返回本地IP
-  return '127.0.0.1';
+  return ip;
 };
 
 /**
@@ -250,27 +243,29 @@ Session.prototype._create = function (session) {
 };
 
 /**
- * 添加session方法
+ * 给session目标对象绑定方法（在创建Proxy前调用，避免触发set陷阱）
+ * @param {object} session session目标对象
  * @param {object} ctx HTTP上下文
  */
-Session.prototype._addMethod = function (ctx) {
+Session.prototype._bindSessionMethods = function (session, ctx) {
+  var self = this;
+
   /**
    * 刷新session
    */
-  ctx.session.refresh = () => {
-    // 刷新标记在外部处理
-    ctx.session._modified = true;
+  session.refresh = function () {
+    this._modified = true;
   };
 
   /**
    * 获取session ID
    * @returns {string} session ID
    */
-  ctx.session.getId = () => {
-    if (!ctx.session.uuid) {
-      ctx.session.uuid = this.genId(ctx);
+  session.getId = function () {
+    if (!this.uuid) {
+      this.uuid = self.genId(ctx);
     }
-    return ctx.session.uuid;
+    return this.uuid;
   };
 };
 
@@ -335,23 +330,18 @@ Session.prototype._handleCookie = async function (ctx, session_id) {
  * @returns {Promise<void>} 保存结果
  */
 Session.prototype._save = async function (ctx, session_id) {
-  // 如果session不存在，直接删除session
   if (!ctx.session) {
     await this._delSession(ctx, session_id);
     return;
   }
 
-  // 如果session被修改过，需要保存
-  if (ctx.session._modified) {
+  if (ctx.session._is_new || ctx.session._modified) {
     await this._handleCookie(ctx, session_id);
 
-    // 提取session数据
     const session_to_save = this._extractSessionData(ctx);
 
-    // 清理session
     this._cleanup(ctx);
 
-    // 保存session到存储
     return await this._store.set(ctx.session.uuid, session_to_save, this.config.max_age || 7200);
   }
 };
@@ -435,14 +425,11 @@ Session.prototype._verifyExpiration = function (end_time) {
  */
 Session.prototype._checkSessionId = async function (session_id, client_ip, client_ua) {
   try {
-    // 解码session_id
     var data = this._helper.parseId(this.config.encrypt_key, session_id, client_ua);
     if (!data) return false;
     let { ip, end_time } = data;
-    // 验证IP
     if (ip !== client_ip) return false;
 
-    // 验证时效性
     var is_expired = this._verifyExpiration(end_time);
     if (is_expired) {
       if (this.config.expired_handling !== 'allow') {
@@ -450,7 +437,6 @@ Session.prototype._checkSessionId = async function (session_id, client_ip, clien
       }
     }
 
-    // 所有验证通过
     return true;
   } catch (err) {
     $.log.debug('Session ID验证错误:', err);

package/package.json

@@ -1,6 +1,6 @@
 {
     "name": "mm_session",
-    "version": "1.6.0",
+    "version": "1.6.1",
     "description": "这是超级美眉session函数模块，用于web服务端session缓存",
     "main": "index.js",
     "scripts": {