session与cookie

概要

cookie不属于http协议范围，由于http协议无法保持状态，但实际情况，我们却又需要“保持状态”，因此cookie就是在这样一个场景下诞生。

cookie的工作原理是：由服务器产生内容，浏览器收到请求后保存在本地；当浏览器再次访问时，浏览器会自动带上cookie，这样服务器就能通过cookie的内容来判断这个是“谁”了。

cookie虽然在一定程度上解决了“保持状态”的需求，但是由于cookie本身最大支持4096字节，以及cookie本身保存在客户端，可能被拦截或窃取，因此就需要有一种新的东西，它能支持更多的字节，并且他保存在服务器，有较高的安全性。这就是session。

问题来了，基于http协议的无状态特征，服务器根本就不知道访问者是“谁”。那么上述的cookie就起到桥接的作用。

我们可以给每个客户端的cookie分配一个唯一的id，这样用户在访问时，通过cookie，服务器就知道来的人是“谁”。然后我们再根据不同的cookie的id，在服务器上保存一段时间的私密资料，如“账号密码”等等。

总结而言：cookie弥补了http无状态的不足，让服务器知道来的人是“谁”；但是cookie以文本的形式保存在本地，自身安全性较差；所以我们就通过cookie识别不同的用户，对应的在session里保存私密的信息以及超过4096字节的文本。

另外，上述所说的cookie和session其实是共通性的东西，不限于语言和框架

引入

前几节的介绍中我们已经有能力制作一个登陆页面，在验证了用户名和密码的正确性后跳转到后台的页面。但是测试后也发现，如果绕过登陆页面。直接输入后台的url地址也可以直接访问的。这个显然是不合理的。其实我们缺失的就是cookie和session配合的验证。有了这个验证过程，我们就可以实现和其他网站一样必须登录才能进入后台页面了。

session和cookie的区别

#cookie:保留在客户端（浏览器)的存放键值对的容器
#session:保留在服务器上面的一个容器

客户端每次发送请求，都会带着自己的cookie
1、浏览器第一次发起GET请求，获得登陆页面，客户端cookie为空
2、用户输入用户名密码，发起POST请求
def  login():
        1、验证
        2、生成sessionid(sessionid:abc123)，放入客户端请求的cookie中，发给浏览器,并为此sessionid设置了自定义的字典 {"abc123":{"is_login":true}
        3、记录生成的sessionid和自定义数据存入数据库，用于下次客户端访问时进行身份识别
def index():
　　　　 1、request.COOKIE["sessionID"] =abc123
　　　　2、从数据库中找到对应的sessionid，获取request.session.get("is_login")的值

django实现session-cookie登陆方式

models中创建个用户表：

class UserInfo(models.Model):
    name=models.CharField(max_length=32)
    pwd=models.CharField(max_length=32)

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<form action="/login/" method="post">
    {% csrf_token %}
    <p>用户名<input type="text" name="user"></p>
    <p>密码<input type="password" name="pwd"></p>
    <input type="submit">
</form>
</body>
</html>

index.xml

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<p>hello{{ user }}</p>
</body>
</html>

view.py

from django.shortcuts import render,redirect

# Create your views here.
from app01 import models

#cookie:保留在客户端（浏览器)的存放键值对的容器
#session:保留在服务器上面的一个容器

def login(request):
    if request.method=="POST":
        username=request.POST.get("user")
        password=request.POST.get("pwd")
        ret = models.UserInfo.objects.filter(name=username,pwd=password)
        if ret:#当用户输入正确的用户名密码之后进行生成sessionid
            request.session["is_login_egon"]=True#给cookie放入session字典
            request.session["username"]=username
            return redirect("/index/")
　　　　　　　#obj=redirect("/index/")
　　　　　　  #obj.set_session("is_login_egon",true)
　　　　　　  #return obj

        else:
            return redirect("/login/")
    return render(request,"login.html")

def index(request):
    # 如果用户没有登陆过，即django_session表中没有该用户的sessionid，则跳转登陆页面
    if not request.session.get("is_login_egon"):
        return redirect("/login/")
    user = request.session.get("username")
    return render(request,"index.html",{"user":user})

1、当用户输入错误用户名密码，需要重新输入页面跳转登陆

2、当用户输入正确用户名密码，生成用户的sessionid给客户端的cookie，并且跳转index.xml

3、当用户没有登陆直接访问index.xml，会跳转到登陆页面，不允许访问

输入正确用户名密码提交

会跳转两次，先在login函数中进行判断生成sessionid，然后跳转页面index函数可以在session表中查到用户的sessionid，允许访问index。

我们清空django_session表中记录，直接访问index.xml

index函数未找到用户登陆信息，跳转登陆页面。

注销功能：注销就是清空对应用户的session表中的记录

    # 第一种方式
    # del request.session["is_login_egon"]
    # 第二种方式
    request.session.flush()

session的基本操作

1、设置Sessions值

          request.session['session_name'] ="admin"

2、获取Sessions值

          session_name = request.session["session_name"]

3、删除Sessions值

          del request.session["session_name"]

4、检测是否操作session值

          if "session_name" is request.session : 

5、get(key, default=None)

 
fav_color = request.session.get('fav_color', 'red')

 
6、pop(key)

 

fav_color = request.session.pop('fav_color')

 

7、keys()

 

8、items()

 

9、setdefault()

 

10、flush() 删除当前的会话数据并删除会话的Cookie。

            这用于确保前面的会话数据不可以再次被用户的浏览器访问

            例如，django.contrib.auth.logout() 函数中就会调用它。

 

 

11 用户session的随机字符串

        request.session.session_key

  

        # 将所有Session失效日期小于当前日期的数据删除

        request.session.clear_expired()

  

        # 检查 用户session的随机字符串 在数据库中是否

        request.session.exists("session_key")

  

        # 删除当前用户的所有Session数据

        request.session.delete("session_key")

  

        request.session.set_expiry(value)

            * 如果value是个整数，session会在些秒数后失效。

            * 如果value是个datatime或timedelta，session就会在这个时间后失效。

            * 如果value是0,用户关闭浏览器session就会失效。

            * 如果value是None,session会依赖全局session失效策略。

Django实现的COOKIE

获取cookie

request.COOKIES['key']

request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None)

    #参数：

        default: 默认值

           salt: 加密盐

        max_age: 后台控制过期时间

设置Cookie

rep = HttpResponse(...) 或 rep ＝ render(request, ...) 或 rep ＝ redirect()

rep.set_cookie(key,value,...)

rep.set_signed_cookie(key,value,salt='加密盐',...)　

参数：

'''

def set_cookie(self, key,                 键
　　　　　　　　　　　　 value='',            值
　　　　　　　　　　　　 max_age=None,        超长时间
　　　　　　　　　　　　 expires=None,        超长时间
　　　　　　　　　　　　 path='/',           Cookie生效的路径，
                                         浏览器只会把cookie回传给带有该路径的页面，这样可以避免将
                                         cookie传给站点中的其他的应用。
                                         / 表示根路径，特殊的：根路径的cookie可以被任何url的页面访问
　　　　　　　　　　　　 
                     domain=None,         Cookie生效的域名
                                        
                                          你可用这个参数来构造一个跨站cookie。
                                          如， domain=".example.com"
                                          所构造的cookie对下面这些站点都是可读的：
                                          www.example.com 、 www2.example.com 
　　　　　　　　　　　　　　　　　　　　　　　　　和an.other.sub.domain.example.com 。
                                          如果该参数设置为 None ，cookie只能由设置它的站点读取。

　　　　　　　　　　　　 secure=False,        如果设置为 True ，浏览器将通过HTTPS来回传cookie。
　　　　　　　　　　　　 httponly=False       只能http协议传输，无法被JavaScript获取
                                         （不是绝对，底层抓包可以获取到也可以被覆盖）
　　　　　　　　　　): pass

'''

posted @ 2017-12-01 21:16 wateligx 阅读(244) 评论(0) 编辑收藏举报

会员力量，点亮园子希望

刷新页面返回顶部

wateligx

session与cookie

概要

引入

django实现session-cookie登陆方式

session的基本操作

Django实现的COOKIE

设置Cookie

参数：

公告