Tornado——Cookie，XSRF，用户验证

普通cookie

设置

set_cookie(name, value, domain=None, expires=None, path='/', expires_days=None)

参数说明：

name：cookie名
value：cookie值
domain：提交cookie时匹配的域名
path：提交cookie时匹配的路径
expires：cookie的有效期，可以是时间戳整数、时间元组或者datetime类型，为UTC时间
expires_days：cookie的有效期，天数，优先级低于expires

# coding:utf-8
import tornado.web
import tornado.ioloop
import tornado.httpserver
import tornado.options
import json

from tornado.web import url,RequestHandler
from tornado.options import define,options

tornado.options.define("port",default=8001,type=int,help="给个端口号呗")

class IndexHandler(RequestHandler):
    def get(self):
        self.set_cookie('k1','v1')　　# 设置cookie
        self.write('hello,world!')

if __name__ == "__main__":
    tornado.options.parse_command_line()
    app = tornado.web.Application(
        [
        (r"/",IndexHandler),
        ],
        debug = True
    )

    http_server = tornado.httpserver.HTTPServer(app)    # 创建httpserver实例
    http_server.listen(options.port)
    tornado.ioloop.IOLoop.current().start()

设置cookie的原理就是在响应头上添加set_cookie这个字段，浏览器识别后，就会自行添加。

获取

get_cookie(name, default=None)

获取名为name的cookie，可以设置默认值。

class IndexHandler(RequestHandler):
    def get(self):
        if self.get_cookie("k1"):
            self.write(self.get_cookie("k1"))

清除

清除单个cookie：

clear_cookie(name, path='/', domain=None)

删除名为name，并同时匹配domain和path的cookie。

清除所有cookie：

clear_all_cookies(path='/', domain=None)

删除同时匹配domain和path的所有cookie。

class ClearOneCookieHandler(RequestHandler):
    def get(self):
        self.clear_cookie("k1")
        self.write("OK")

class ClearAllCookieHandler(RequestHandler):
    def get(self):
        self.clear_all_cookies()
        self.write("OK")

注意：执行清除cookie操作后，并不是立即删除了浏览器中的cookie，而是给cookie值置空，并改变其有效期使其失效。真正的删除cookie是由浏览器去清理的。　　

安全Cookie

Cookie是存储在客户端浏览器中的，很容易被篡改。Tornado提供了一种对Cookie进行简易加密签名的方法来防止Cookie被恶意篡改。

使用安全Cookie需要为应用配置一个用来给Cookie进行混淆的秘钥cookie_secret，将其传递给Application的构造函数。我们可以使用如下方法来生成一个随机字符串作为cookie_secret的值。

>>> import base64,uuid
>>> base64.b64encode(uuid.uuid4().bytes+uuid.uuid4().bytes)
b'mkJoU6elQBigxrWgwXCYAOAuivuVf0O0ubgR7svhEVA='

Base64是一种基于64个可打印字符来表示二进制数据的表示方法。由于2的6次方等于64，所以每6个比特为一个单元，对应某个可打印字符。三个字节有24个比特，对应于4个Base64单元，即3个字节需要用4个可打印字符来表示。

uuid, 通用唯一识别码（英语：Universally Unique Identifier，简称UUID），是由一组32个16进制数字所构成（两个16进制数是一个字节，总共16字节），因此UUID理论上的总数为16^32=2^128，约等于3.4 x 10^38。也就是说若每纳秒产生1兆个UUID，要花100亿年才会将所有UUID用完。

uuid模块的uuid4()函数可以随机产生一个uuid码，bytes属性将此uuid码作为16字节字符串。

将生成的cookie_secret传入Application构造函数：

app = tornado.web.Application(
    [(r"/", IndexHandler),],
    cookie_secret = "mkJoU6elQBigxrWgwXCYAOAuivuVf0O0ubgR7svhEVA=" 
)

获取和设置

set_secure_cookie(name, value, expires_days=30)

设置一个带签名和时间戳的cookie，防止cookie被伪造。

get_secure_cookie(name, value=None, max_age_days=31)

如果cookie存在且验证通过，返回cookie的值，否则返回None。max_age_day不同于expires_days，expires_days是设置浏览器中cookie的有效期，而max_age_day是过滤安全cookie的时间戳。max_age_days是获取cookie的有效时间，就算它的cookie还没过期，超过了max_age_days设置的时间，我们也不认。

class IndexHandler(RequestHandler):
    def get(self):
        cookie = self.get_secure_cookie("count")
        count = int(cookie) + 1 if cookie else 1
        self.set_secure_cookie("count", str(count))
        self.write(
            '<html><head><title>Cookie计数器</title></head>'
            '<body><h1>您已访问本页%d次。</h1>' % count + 
            '</body></html>'
        )

生成的签名的格式：

"2|1:0|10:1476412069|5:count|4:NQ==|cb5fc1d4434971de6abf87270ac33381c686e4ec8c6f7e62130a0f8cbe5b7609"

签名字段说明：

安全cookie的版本，默认使用版本2，不带长度说明前缀
默认为0
时间戳
cookie名
base64编码的cookie值
签名值，不带长度说明前缀

注意：Tornado的安全cookie只是一定程度的安全，仅仅是增加了恶意修改的难度。Tornado的安全cookies仍然容易被窃听，而cookie值是签名不是加密，攻击者能够读取已存储的cookie值，并且可以传输他们的数据到任意服务器，或者通过发送没有修改的数据给应用伪造请求。因此，避免在浏览器cookie中存储敏感的用户数据是非常重要的。

XSRF

浏览器有一个很重要的概念——同源策略(Same-Origin Policy)。所谓同源是指，域名，协议，端口相同。不同源的客户端脚本(javascript、ActionScript)在没明确授权的情况下，不能读写对方的资源。

由于第三方站点没有访问cookie数据的权限（同源策略），所以我们可以要求每个请求包括一个特定的参数值（XSRF）作为令牌来匹配存储在cookie中的对应值，如果两者匹配，我们的应用认定请求有效。而第三方站点无法在请求中包含令牌cookie值，这就有效地防止了不可信网站发送未授权的请求。

开启XSRF保护

要开启XSRF保护，需要在Application的构造函数中添加xsrf_cookies参数：

app = tornado.web.Application(
    [(r"/", IndexHandler),],
    debug=True,
    cookie_secret = "2hcicVu+TqShDpfsjMWQLZ0Mkq5NPEWSk9fi0zsSt3A=",
    xsrf_cookies = True
)

当这个参数被设置时，Tornado将拒绝请求参数中不包含正确的_xsrf值的POST、PUT和DELETE请求。

为前端设置xsrf

1、通过模板加载的页面

只需在模板中添加以下语句：

{% module xsrf_form_html() %}

模板中添加的语句帮我们做了两件事：

为浏览器设置了_xsrf的Cookie（注意此Cookie浏览器关闭时就会失效）
为模板的表单中添加了一个隐藏的输入名为_xsrf，其值为_xsrf的Cookie值

2、不通过模板加载的页面

对于不使用模板的应用来说，首先要设置_xsrf的Cookie值，可以在任意的Handler中通过获取self.xsrf_token的值来生成_xsrf并设置Cookie。

下面两种方式都可以起到设置_xsrf Cookie的作用。

class XSRFTokenHandler(RequestHandler):
    """专门用来设置_xsrf Cookie的接口"""
    def get(self):
        self.xsrf_token
        self.write("Ok")

class StaticFileHandler(tornado.web.StaticFileHandler):
    """重写StaticFileHandler，构造时触发设置_xsrf Cookie"""
    def __init__(self, *args, **kwargs):
        super(StaticFileHandler, self).__init__(*args, **kwargs)
        self.xsrf_token

请求携带xsrf

1、Form表单提交

在前端页面设置好xsrf之后，在表单提交的时候，会自动携带。

2、ajax表单提交

获取cookie中的xsrf + 传送字典型（对象）数据：

<script src="http://cdn.bootcss.com/jquery/3.1.1/jquery.min.js"></script>
<script type="text/javascript">
	//获取指定Cookie的函数
	function getCookie(name) {
		var r = document.cookie.match("\\b" + _xsrf + "=([^;]*)\\b");
		return r ? r[1] : undefined;	// 如果r有值的话，取列表中的第二个数据，否则返回undefined
	}
	
	//AJAX发送post请求，表单格式数据
	function xsrfPost() {
		var xsrf = getCookie("_xsrf");
		$.ajax({
			url: "/xxx",
			method: "POST",
			data:{'_xsrf':'2|543c2206|a056ff9e49df23eaffde0a694cde2b02|1476443353',...},
			success:function(data) {
				alert("OK");
			}
		})
	}
</script>

传输json数据：

当前后端都使用json传输数据时使用

<script type="text/javascript">
	//获取指定Cookie的函数
	function getCookie(name) {
		var r = document.cookie.match("\\b" + name + "=([^;]*)\\b");
		return r ? r[1] : undefined;
	}
	//AJAX发送post请求，json格式数据
	function xsrfPost() {
		var xsrf = getCookie("_xsrf");
		var data = {
			key1:1,
			key1:2
		};
		var json_data = JSON.stringify(data);	// 将数据转码成json
		$.ajax({
			url: "/new",
			method: "POST",
			contentType:'application/json',		// 设置请求发送数据的类型
			headers: {
				"X-XSRFToken":xsrf,		// 如果tornado在数据中找不到xsrf就会到headers中找
			},
			data:json_data,
			success:function(data) {
				alert("OK");
			}
		})
	}
</script>

用户验证

用户验证是指在收到用户请求后进行处理前先判断用户的认证状态（如登陆状态），若通过验证则正常处理，否则强制用户跳转至认证页面（如登陆页面）。

和Django的登录验证一样，都是通过装饰器来实现的，tornado为我们提供了一个装饰器authenticated。

装饰器（authenticated）

为了使用Tornado的认证功能，我们需要对登录用户标记具体的处理函数。我们可以使用@tornado.web.authenticated装饰器完成它。当我们使用这个装饰器包裹一个处理方法时，Tornado将确保这个方法的主体只有在合法的用户被发现时才会调用。

class ProfileHandler(RequestHandler):
    @tornado.web.authenticated
    def get(self):
        self.write("这是我的个人主页。")

这个装饰器实际上就是调用了get_current_user()方法，如果返回None证明没有登录，会直接跳转到配置文件中的login_url所设置的url。

get_current_user()方法

装饰器@tornado.web.authenticated的判断执行依赖于请求处理类中的self.current_user属性，如果current_user值为假（None、False、0、""等），任何GET或HEAD请求都将把访客重定向到应用设置中login_url指定的URL，而非法用户的POST请求将返回一个带有403（Forbidden）状态的HTTP响应。

在获取self.current_user属性的时候，tornado会调用get_current_user()方法来返回current_user的值。也就是说，我们验证用户的逻辑应写在get_current_user()方法中，若该方法返回非假值则验证通过，否则验证失败。

class ProfileHandler(RequestHandler):
    def get_current_user(self):
        """在此完成用户的认证逻辑"""
        user_name = self.get_argument("name", None)
        return user_name 

    @tornado.web.authenticated
    def get(self):
        self.write("这是我的个人主页。")

设置login_url

app = tornado.web.Application(
    [
        (r"/", IndexHandler),
        (r"/login", LoginHandler),
    ],
    "login_url"="/login"
)

posted @ 2018-01-08 20:37 想54256 阅读(1501) 评论(0) 编辑收藏举报

刷新页面返回顶部