Node.js et Express

Questions fréquentes

C'est quoi Node.js et à quoi ça sert ?

Node.js est un environnement d'exécution qui fait tourner du JavaScript en dehors du navigateur, sur un ordinateur ou un serveur, grâce au moteur V8 de Chrome. Il sert surtout à écrire des serveurs web et des API, mais aussi des outils en ligne de commande : Vite, ESLint ou TypeScript tournent sous Node.js. Son modèle asynchrone non bloquant lui permet de servir beaucoup de requêtes à la fois tant qu'elles passent leur temps à attendre la base de données ou le réseau (chapitre 1).

Quelle est la différence entre Node.js et Express ?

JavaScript est le langage, Node.js est l'environnement qui l'exécute côté serveur, et Express est un framework web qui s'installe avec npm dans un projet Node.js. Node.js sait créer un serveur HTTP seul, mais tout est à écrire à la main ; Express apporte le routage (app.get('/v1/fiches/:id', …)), les middlewares et des méthodes pratiques comme res.status(201).json(…). Node.js n'est donc ni un langage ni un framework (Express.js).

C'est quoi un middleware dans Express ?

Un middleware est une fonction (req, res, next) qui s'exécute entre l'arrivée de la requête et la réponse : elle peut lire ou compléter la requête, répondre elle-même, ou passer la main au suivant avec next(). Une application Express est une chaîne de middlewares, exécutés dans l'ordre où ils sont enregistrés : journal, lecture du JSON, authentification, validation, puis la route. Le gestionnaire d'erreurs est un middleware à quatre paramètres, placé en dernier (chapitre 4).

Comment connecter Node.js à une base MySQL ?

On installe le pilote mysql2, on crée un pool de connexions avec mysql.createPool à partir de mysql2/promise, puis on envoie chaque requête avec await pool.execute(sql, valeurs). Les valeurs passent toujours par des marqueurs ? : c'est une requête préparée, qui empêche l'injection SQL. L'API se connecte avec un compte MySQL qui n'a que les droits SELECT, INSERT, UPDATE et DELETE sur sa base (chapitre 6).

Faut-il utiliser un ORM comme Prisma ?

Un ORM fait correspondre les tables à des objets et écrit le SQL à ta place : moins de code répétitif, des requêtes paramétrées par défaut, des migrations versionnées. En échange, il faut apprendre son API, surveiller le SQL qu'il génère et le problème N+1. Les deux approches sont valables pour une réalisation d'E6 si tu sais justifier ton choix ; avec Prisma, installe explicitement la version 7 (prisma@7), car la version 8 est encore en version candidate en novembre 2026 (chapitre 7).

JWT ou session : que choisir pour une API Node.js ?

Pour une API appelée par un front séparé et une application mobile, un jeton JWT court (15 minutes), présenté dans l'en-tête Authorization: Bearer, est la solution la plus simple ; on y ajoute un jeton de rafraîchissement révocable. Pour une application web dont le front et le back sont sur le même domaine, une session avec un cookie HttpOnly, Secure et SameSite est souvent plus sûre et se révoque immédiatement. Dans les deux cas, les mots de passe sont hachés avec argon2 ou bcrypt (chapitre 9).

Bcrypt ou argon2 pour hacher les mots de passe ?

Argon2id est le premier choix recommandé par l'OWASP : il est coûteux en mémoire, ce qui freine les attaques sur carte graphique. Bcrypt reste acceptable, avec un facteur de coût d'au moins 10 (12 est un bon choix aujourd'hui), mais il ne tient compte que des 72 premiers octets du mot de passe. Dans les deux cas, utilise les fonctions asynchrones, et jamais MD5 ni SHA-256 seuls, beaucoup trop rapides (stocker les mots de passe).

Pourquoi ai-je une erreur CORS en appelant mon API depuis React ?

Le front (par exemple http://localhost:5173) et l'API (http://localhost:3000) ont des origines différentes : le navigateur bloque la lecture de la réponse tant que l'API ne l'autorise pas par l'en-tête Access-Control-Allow-Origin. La correction se fait dans l'API, avec app.use(cors({ origin: 'http://localhost:5173' })) placé avant les routes. N'autorise jamais toutes les origines avec les cookies : CORS n'est pas une protection de l'API, mais une permission donnée aux navigateurs (chapitre 10).

Quelle version de Node.js installer en 2026 ?

Toujours une version LTS : Node.js 24 (maintenue jusqu'au 30 avril 2028) ou Node.js 26, passée en LTS le 28 octobre 2026 et maintenue jusqu'au 30 avril 2029. Les versions impaires ne sont jamais LTS. Choisis une version et utilise-la partout : champ engines du package.json, image Docker, pipeline de CI et fiche descriptive de ta réalisation (choisir une version).

Node.js et Express sont-ils au programme du BTS SIO ?

Le référentiel du BTS SIO n'impose aucun langage : il demande de développer des solutions applicatives, des échanges entre applications et des accès aux données, avec un framework. Une API Node.js et Express reliée à MySQL et consommée par un front React est une réalisation professionnelle courante en option SLAM, présentée à l'E6. L'écrit E7 « Cybersécurité des services informatiques » propose des extraits de code à analyser et à sécuriser, dans un langage qui change selon les sujets : les notions de ce cours (requêtes préparées, contrôle d'accès, JWT, journalisation) s'y appliquent directement (exercices type E6 et E7).