035.2 Lezione 1

Per dimostrare le caratteristiche di base di Express nel ricevere e gestire le richieste, simuliamo un’applicazione che richiede alcune informazioni dal server. In particolare, il server di esempio:

Il primo passo è creare il file JavaScript che opererà come server. Usando npm, create una directory chiamata myserver con il file JavaScript:

Per il file di inizializzazione, può essere usato qualsiasi nome di file. Qui useremo il nome predefinito del file: index.js. Il seguente elenco mostra un file di base index.js che sarà usato come punto di ingresso per il nostro server:

Alcune costanti importanti per la configurazione del server sono definite nelle prime righe dello script. Le prime due, express e app, corrispondono al modulo incluso express e a un’istanza di questo modulo che esegue la nostra applicazione. All’oggetto app aggiungeremo le azioni che devono essere eseguite dal server.

Le altre due costanti, host e port, definiscono l’host e la porta di comunicazione associati al server.

Se hai un host accessibile pubblicamente, usa il suo nome invece di myserver come valore di host. Se non fornisci il nome dell’host, Express utilizzerà di default localhost, ovvero il computer su cui l’applicazione viene eseguita. In questo caso, nessun client esterno sarà in grado di raggiungere il programma, il che può andare bene per i test ma offre poca utilità in produzione.

La porta deve essere fornita, altrimenti il server non partirà.

Questo script allega solo due procedure all’oggetto app: l’azione app.get() che risponde alle richieste fatte dai client tramite HTTP GET, e la chiamata app.listen(), che è necessaria per attivare il server e gli assegna un host e una porta.

Per avviare il server, basta eseguire il comando node, fornendo il nome dello script come argomento:

Non appena appare il messaggio Server ready at http://myserver:8080, il server è pronto a ricevere richieste da un client HTTP. Le richieste possono essere fatte da un browser sullo stesso computer su cui il server è in esecuzione, o da un’altra macchina che può accedere al server.

Tutti i dettagli della transazione che vedremo qui sono mostrati nel browser se si apre la console dello sviluppatore. In alternativa, il comando curl può essere usato per la comunicazione HTTP e permette di ispezionare più facilmente i dettagli della connessione. Se non si ha familiarità con la riga di comando della shell, si può creare un modulo HTML per inviare richieste a un server.

L’esempio seguente mostra come usare il comando curl sulla linea di comando per fare una richiesta HTTP al server appena attivato:

L’opzione -v del comando curl visualizza tutte le intestazioni di richiesta e di risposta, così come altre informazioni di debug. Le linee che iniziano con > indicano gli header di richiesta inviati dal client e le linee che iniziano con < indicano gli header di risposta inviati dal server. Le linee che iniziano con * sono informazioni generate da curl stesso. Il contenuto della risposta viene mostrato solo alla fine, che in questo caso è la linea Request received.

L’URL del servizio, che in questo caso contiene l’hostname e la porta del server (http://myserver:8080), è stata data come argomento al comando curl. Non essendo stata fornita alcuna directory o nome di file, la sessione inizierà fecendo riferimento alla directory principale /. Lo slash compare come file di richiesta nella linea > GET / HTTP/1.1, che è seguita nell’output dall’hostname e dalla porta.

Oltre a visualizzare le intestazioni di connessione HTTP, il comando curl facilita lo sviluppo dell’applicazione permettendoti di inviare dati al server usando diversi metodi HTTP e in diversi formati. Questa flessibilità rende più facile il debug di qualsiasi problema e l’implementazione di nuove funzionalità sul server.

Le richieste che il client può fare al server dipendono da quali route sono state definite nel file index.js. Una rotta indica un metodo HTTP e definisce un percorso (più precisamente, una URI) che può essere richiesta dal client.

Finora, il server ha solo una rotta configurata:

Anche se si tratta di una rotta molto semplice, che restituisce semplicemente un messaggio di testo al client, è sufficiente per identificare i componenti più importanti che vengono utilizzati per strutturare la maggior parte delle rotte:

Come abbiamo visto negli esempi precedenti, il parametro res è responsabile della restituzione di una risposta al client. Inoltre, l’oggetto res può cambiare altri aspetti della risposta. Avrai notato che, sebbene le risposte che abbiamo implementato finora siano solo brevi messaggi di testo semplice, l’intestazione Content-Type delle risposte usa text/html; charset=utf-8. Anche se questo non impedisce alla risposta in testo semplice di essere accettata, sarà più corretto se ridefiniamo questo campo nell’intestazione della risposta a text/plain con l’impostazione res.type('text/plain').

Altri tipi di aggiustamenti della risposta implicano l’uso di cookie, che permettono al server di identificare un client che ha precedentemente fatto una richiesta. I cookie sono importanti per funzioni avanzate, come la creazione di sessioni private che associano le richieste a un utente specifico, ma qui tratteremo solo un semplice esempio di come usare un cookie per identificare un client che ha precedentemente eseguito l’accesso al server.

Dato il design modulare di Express, la gestione dei cookie deve essere installata con il comando npm prima di essere usata nello script:

Dopo l’installazione, la gestione dei cookie deve essere inclusa nello script del server. La seguente definizione dovrebbe essere inclusa nelle prime righe del file:

Per illustrare l’uso dei cookie, modifichiamo la funzione handler della rotta con il percorso di root / che esiste già nello script. L’oggetto req ha una proprietà req.cookies, dove vengono conservati i cookie inviati nell’intestazione della richiesta. L’oggetto res, d’altra parte, ha un metodo res.cookie() che crea un nuovo cookie da inviare al client. La funzione handler nell’esempio seguente controlla se nella richiesta esiste un cookie con il nome known. Se tale cookie non esiste, il server assume che si tratti di un primo visitatore e gli invia un cookie con quel nome attraverso la chiamata res.cookie('known', '1'). Noi assegniamo arbitrariamente il valore 1 al cookie perché si suppone che abbia qualche contenuto, ma il server non consulta quel valore. Questa applicazione assume semplicemente che la semplice presenza del cookie indichi che il client ha già richiesto questo percorso in precedenza:

Per impostazione predefinita, curl non usa i cookie nelle transazioni. Ma ha opzioni per memorizzare (-c cookies.txt) e inviare i cookie memorizzati (-b cookies.txt):

Poiché questo comando era il primo con cui effettuavamo un accesso dall’implementazione dei cookie, il client non ne ha fornito nessuno nella richiesta. Come previsto, quindi, il server non trovando il cookie nella richiesta ne ha incluso uno nelle intestazioni di risposta, come indicato nella linea Set-Cookie: known=1; Path=/ dell’output. Poiché abbiamo abilitato i cookie in curl, una nuova richiesta includerà il cookie known=1 nelle intestazioni della richiesta, permettendo al server di identificare la presenza del cookie:

Lo sviluppatore dovrebbe essere consapevole delle potenziali vulnerabilità quando usa i cookie per identificare i client che fanno richieste. I criminali informatici possono usare tecniche come cross-site scripting (XSS) e cross-site request forgery (CSRF) per rubare i cookie da un client e quindi impersonarlo quando fa una richiesta al server. In generale, questi tipi di attacchi utilizzano campi di commento non convalidati o URL meticolosamente costruite per inserire codice JavaScript dannoso nella pagina. Quando viene eseguito da un client, questo codice può copiare i cookie validi e memorizzarli o inoltrarli a un’altra destinazione.

Perciò, specialmente nelle applicazioni professionali, è importante installare e usare funzioni Express più specializzate, conosciute come middleware. I moduli express-session o cookie-session forniscono un controllo più completo e sicuro sulla gestione della sessione e dei cookie. Questi componenti permettono controlli extra per evitare che i cookie vengano deviati dal loro emittente originale.