70-Cookie和Session

1、Cookie　　

　1.1 Cookie的由来

　　HTTP协议是无状态的。无状态的意思是每次请求都是独立的，它的执行情况和结果与前面的请求和之后的请求都无直接关系，它不会受前面的请求响应情况直接影响，也不会直接影响后面的请求响应情况。状态可以理解为客户端和服务器在某次会话中产生的数据，那无状态的就以为这些数据不会被保留。会话中产生的数据又是我们需要保存的，也就是说要“保持状态”。因此Cookie就是在这样一个场景下诞生。

　1.2 什么是Cookie

　　Cookie实际上是一小段的文本信息，它是服务器发送出来存储在浏览器上的一组组键值对。它由服务器产生，浏览器收到请求后保存在客户端本地。

　1.3 Cookie原理

　　客户端请求服务器，如果服务器需要记录该用户状态，就使用response向客户端浏览器颁发一个Cookie。客户端浏览器会把Cookie保存起来。当浏览器再请求该网站时，浏览器把请求的网址连同该Cookie一同提交给服务器。服务器检查该Cookie，以此来辨认用户状态。服务器还可以根据需要修改Cookie的内容。

2、Django中操作Cookie

　2.1 获取cookie　　

request.COOKIES['key']
request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None)

参数：

default: 默认值
salt: 加密盐
max_age: 后台控制过期时间

　2.2 设置Cookie

rep = HttpResponse(...)
rep ＝ render(request, ...)

rep.set_cookie(key,value,...)
rep.set_signed_cookie(key,value,salt='加密盐', max_age=None, ...)

参数：

key, 键
value='', 值
max_age=None, 超时时间
expires=None, 超时时间(IE requires expires, so set it if hasn't been already.)
path='/', Cookie生效的路径，/ 表示根路径，特殊的：根路径的cookie可以被任何url的页面访问
domain=None, Cookie生效的域名
secure=False, https传输
httponly=False 只能http协议传输，无法被JavaScript获取（不是绝对，底层抓包可以获取到也可以被覆盖）

　2.3 删除Cookie

def logout(request):

    rep = redirect("/app01/login/")
    rep.delete_cookie("is_login")  # 删除用户浏览器上之前设置的cookies

    return rep

　2.4 Cookie版登录验证

　　views.py部分：

def check_login(func):
    @wraps(func)  # 装饰器修复
    def inner(request, *args, **kwargs):
        ret = request.get_signed_cookie("is_login", default="0", salt="isloginsalt")  # default用来设置没有关键字时返回的值，否则抛出异常
        if ret == "1":  # 已经登录过的，直接跳转
            return func(request, *args, **kwargs)
        else:  # 没有登录过的，跳转至login页面
            next_url = request.path_info  # 获取路径信息

            return redirect("/app01/login/?next={}".format(next_url))
    return inner


def login(request):

    if request.method == "POST":
        username = request.POST.get("user")
        password = request.POST.get("pwd")
        next_url = request.GET.get("next")

        if username == "druid" and password == "123456":
            if next_url:
                rep = redirect(next_url)
                print(next_url)
            else:
                rep = redirect("/app01/home/")
            # req.set_cookie("is_login", "1")  # 让浏览器创建一个cookies（键值对{"is_login":1}）
            rep.set_signed_cookie("is_login", "1", salt="isloginsalt", max_age=20)  # 给cookies的值加盐和超时清除时间，单位为秒
            return rep

    return render(request, "app01/login.html")


@check_login
def home(request):
    # # 1、不用装饰器
    # cookies_ret = request.COOKIES.get("is_login", "0")  # 从request中获取cookies的值，有就获取值，没有则返回默认值0
    # cookies_ret = request.get_signed_cookie("is_login", salt="isloginsalt", default="0")
    # if cookies_ret == "1":
    #     return render(request, "app01/home.html")
    # else:
    #     return redirect("/app01/login/")
    # 2、使用装饰器
    return render(request, "home.html")


@check_login
def index(request):

    return render(request, "app01/index.html")


def logout(request):

    rep = redirect("/app01/login/")
    rep.delete_cookie("is_login")  # 删除cookies

    return rep

　　HTML 登录页面部分：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>登录页面</title>
</head>
<body>
    <form action="{{ request.get_full_path }}" method="post">
    {% csrf_token %}
        <p>
            用户名：
            <input type="text" name="user">
        </p>
        <p>
            密码：
            <input type="password" name="pwd">
        </p>
        <p>
            <input type="submit">
        </p>
    </form>
</body>
</html>

　　HTML home页面部分：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>home页面</title>
</head>
<body>
    <h1>APP01的HOME页面</h1>

    <a href="/app01/logout/">注销</a>
</body>
</html>

　　HTML index页面部分：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>index</title>
</head>
<body>
    <h1>APP01的index页面</h1>
</body>
</html>

3、Session

　3.1 Session的由来

　　Cookie虽然在一定程度上解决了“保持状态”的需求，但是由于Cookie本身最大支持4096字节，以及Cookie本身保存在客户端，可能被拦截或窃取，因此就需要有一种新的东西，它能支持更多的字节，并且他保存在服务器，有较高的安全性。这就是Session。

　　问题来了，基于HTTP协议的无状态特征，服务器根本就不知道访问者是“谁”。那么上述的Cookie就起到桥接的作用。我们可以给每个客户端的Cookie分配一个唯一的id，这样用户在访问时，通过Cookie，服务器就知道来的人是“谁”。然后我们再根据不同的Cookie的id，在服务器上保存一段时间的私密资料，如“账号密码”等等。

　　总结而言：Cookie弥补了HTTP无状态的不足，让服务器知道来的人是“谁”；但是Cookie以文本的形式保存在本地，自身安全性较差；所以我们就通过Cookie识别不同的用户，对应的在Session里保存私密的信息以及超过4096字节的文本。

　　另外，上述所说的Cookie和Session其实是共通性的东西，不限于语言和框架。　　

　3.2 Session的流程

　3.3 Django中常用的Session方法

# 获取、设置、删除Session中数据
request.session['k1']
request.session.get('k1',None)
request.session['k1'] = 123
request.session.setdefault('k1',123) # 存在则不设置
del request.session['k1']


# 所有 键、值、键值对
request.session.keys()
request.session.values()
request.session.items()
request.session.iterkeys()
request.session.itervalues()
request.session.iteritems()

# 会话session的key
request.session.session_key

# 将所有Session失效日期小于当前日期的数据删除
request.session.clear_expired()

# 检查会话session的key在数据库中是否存在
request.session.exists("session_key")

# 删除当前会话的所有Session数据
request.session.delete()
　　
# 删除当前的会话数据并删除会话的Cookie。
request.session.flush() 
    这用于确保前面的会话数据不可以再次被用户的浏览器访问
    例如，django.contrib.auth.logout() 函数中就会调用它。

# 设置会话Session和Cookie的超时时间
request.session.set_expiry(value)
    * 如果value是个整数，session会在些秒数后失效。
    * 如果value是个datatime或timedelta，session就会在这个时间后失效。
    * 如果value是0,用户关闭浏览器session就会失效。
    * 如果value是None,session会依赖全局session失效策略。

　3.4 Session版登录验证

　　views.py部分：

def check_login(func):
    @wraps(func)  # 装饰器修复
    def inner(request, *args, **kwargs):
        ret = request.session.get("is_login")
        # 1、获取cookies中的随机字符串
        # 2、根据随机字符串去数据库中取session_data --> 解密 --> 反序列化成字典
        # 3、在字典里面根据key"is_login"取对应的value
        if ret == "1":  # 已经登录过的，直接跳转
            return func(request, *args, **kwargs)
        else:  # 没有登录过的，跳转至login页面
            next_url = request.path_info  # 获取路径信息

            return redirect("/app02/login/?next={}".format(next_url))
    return inner


def login(request):

    if request.method == "POST":
        username = request.POST.get("user")
        password = request.POST.get("pwd")
        next_url = request.GET.get("next")

        if username == "druid" and password == "123456":
            if next_url:
                rep = redirect(next_url)
                print(next_url)
            else:
                rep = redirect("/app02/home/")
            request.session["is_login"] = "1"  # 设置session
            request.session["user"] = username
            request.session.set_expiry(10)  # 设置session过期时间为10S（无论浏览器是否有刷新动作，固定10S后均会过期。可在settings中修改）
            return rep

    return render(request, "app02/login.html")


@check_login
def home(request):
    username = request.session.get("user")

    return render(request, "app02/home.html", {"username_html": username})


@check_login
def index(request):

    return render(request, "app02/index.html")


def logout(request):

    request.session.flush()   # 删除session和cookies。delete()方法只删除session

    return redirect("/app02/login/")

　　HTML 登录页面部分：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>登录页面</title>
</head>
<body>
    <form action="{{ request.get_full_path }}" method="post">
    {% csrf_token %}
        <p>
            用户名：
            <input type="text" name="user">
        </p>
        <p>
            密码：
            <input type="password" name="pwd">
        </p>
        <p>
            <input type="submit">
        </p>
    </form>
</body>
</html>

　　HTML home页面部分：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>home页面</title>
</head>
<body>
    <h1>APP02-用户{{ username_html }}的HOME页面</h1>

    <a href="/app02/logout/">注销</a>
</body>
</html>

　　HTML index页面部分：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>index</title>
</head>
<body>
    <h1>APP02的index页面</h1>
</body>
</html>

　3.5 Django中Session配置

1. 数据库Session
SESSION_ENGINE = 'django.contrib.sessions.backends.db'   # 引擎（默认）

2. 缓存Session
SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # 引擎
SESSION_CACHE_ALIAS = 'default'                            # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置

3. 文件Session
SESSION_ENGINE = 'django.contrib.sessions.backends.file'    # 引擎
SESSION_FILE_PATH = None                                    # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir() 

4. 缓存+数据库
SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db'        # 引擎

5. 加密Cookie Session
SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies'   # 引擎

其他公用设置项：
SESSION_COOKIE_NAME ＝ "sessionid"                       # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）
SESSION_COOKIE_PATH ＝ "/"                               # Session的cookie保存的路径（默认）
SESSION_COOKIE_DOMAIN = None                             # Session的cookie保存的域名（默认）
SESSION_COOKIE_SECURE = False                            # 是否Https传输cookie（默认）
SESSION_COOKIE_HTTPONLY = True                           # 是否Session的cookie只支持http传输（默认）
SESSION_COOKIE_AGE = 1209600                             # Session的cookie失效日期（2周）（默认）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False                  # 是否关闭浏览器使得Session过期（默认）
SESSION_SAVE_EVERY_REQUEST = False                       # 是否每次请求都保存Session，默认修改之后才保存（默认）

　3.6 CBV实现登录

class LoginView(View):

    def get(self, request):
        """
        处理GET请求
        """
        return render(request, 'login.html')

    def post(self, request):
        """
        处理POST请求 
        """
        user = request.POST.get('user')
        pwd = request.POST.get('pwd')
        if user == 'alex' and pwd == "alex1234":
            next_url = request.GET.get("next")
            # 生成随机字符串
            # 写浏览器cookie -> session_id: 随机字符串
            # 写到服务端session：
            # {
            #     "随机字符串": {'user':'alex'}
            # }
            request.session['user'] = user
            if next_url:
                return redirect(next_url)
            else:
                return redirect('/index/')
        return render(request, 'login.html')

　　要在CBV视图中使用我们上面的check_login装饰器，有以下三种方式：

　　from django.utils.decorators import method_decorator

　　3.6.1 加在CBV视图的get或者post方法上

from django.utils.decorators import method_decorator


class HomeView(View):

    def dispatch(self, request, *args, **kwargs):
        return super(HomeView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return render(request, "home.html")
    
    @method_decorator(check_login)
    def post(self, request):
        print("Home View POST method...")
        return redirect("/index/")

　　3.6.2 加在dispatch方法上

from django.utils.decorators import method_decorator


class HomeView(View):

    @method_decorator(check_login)
    def dispatch(self, request, *args, **kwargs):
        return super(HomeView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return render(request, "home.html")

    def post(self, request):
        print("Home View POST method...")
        return redirect("/index/")

　　因为CBV中首先执行的就是dispatch方法，所以这么写相当于给get和post方法都加上了登录校验。

　　3.6.3 直接加在视图类上，但method_decorator必须传 name 关键字参数

　　如果get方法和post方法都需要登录校验的话就写两个装饰器。

from django.utils.decorators import method_decorator

@method_decorator(check_login, name="get")
@method_decorator(check_login, name="post")
class HomeView(View):

    def dispatch(self, request, *args, **kwargs):
        return super(HomeView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return render(request, "home.html")

    def post(self, request):
        print("Home View POST method...")
        return redirect("/index/")

　　3.6.4 补充

　　CSRF Token相关装饰器在CBV只能加到dispatch方法上，或者加在视图类上然后name参数指定为dispatch方法。

　　备注：

- csrf_protect，为当前函数强制设置防跨站请求伪造功能，即便settings中没有设置全局中间件。
- csrf_exempt，取消当前函数防跨站请求伪造功能，即便settings中设置了全局中间件。

from django.views.decorators.csrf import csrf_exempt, csrf_protect
from django.utils.decorators import method_decorator


class HomeView(View):

    @method_decorator(csrf_exempt)
    def dispatch(self, request, *args, **kwargs):
        return super(HomeView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return render(request, "home.html")

    def post(self, request):
        print("Home View POST method...")
        return redirect("/index/")

　　或者

from django.views.decorators.csrf import csrf_exempt, csrf_protect
from django.utils.decorators import method_decorator


@method_decorator(csrf_exempt, name='dispatch')
class HomeView(View):
   
    def dispatch(self, request, *args, **kwargs):
        return super(HomeView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return render(request, "home.html")

    def post(self, request):
        print("Home View POST method...")
        return redirect("/index/")

posted @ 2019-02-26 16:43 Druid_Py 阅读(198) 评论(0) 编辑收藏举报

刷新页面返回顶部

Druid_Py

70-Cookie和Session

1、Cookie

1.1 Cookie的由来

1.2 什么是Cookie

1.3 Cookie原理

2、Django中操作Cookie

2.1 获取cookie

2.2 设置Cookie

2.3 删除Cookie

2.4 Cookie版登录验证

3、Session

3.1 Session的由来

3.2 Session的流程

3.3 Django中常用的Session方法

3.4 Session版登录验证

3.5 Django中Session配置

3.6 CBV实现登录

3.6.1 加在CBV视图的get或者post方法上

3.6.2 加在dispatch方法上

3.6.3 直接加在视图类上，但method_decorator必须传 name 关键字参数

3.6.4 补充

公告

1、Cookie　　

　1.1 Cookie的由来

　1.2 什么是Cookie

　1.3 Cookie原理

　2.1 获取cookie　　

　2.2 设置Cookie

　2.3 删除Cookie

　2.4 Cookie版登录验证

　3.1 Session的由来

　3.2 Session的流程

　3.3 Django中常用的Session方法

　3.4 Session版登录验证

　3.5 Django中Session配置

　3.6 CBV实现登录

　　3.6.1 加在CBV视图的get或者post方法上

　　3.6.2 加在dispatch方法上

　　3.6.3 直接加在视图类上，但method_decorator必须传 name 关键字参数

　　3.6.4 补充