1.Cookie
会话跟踪技术 可以把会话理解为客户端与服务器之间的一次会晤,在一次会晤中可能会包含多次请求和响应。例如你给10086打个电话,你就是客户端,而10086服务人员就是服务器了。从双方接通电话那一刻起,会话就开始了,到某一方挂断电话表示会话结束。在通话过程中,你会向10086发出多个请求,那么这多个请求都在一个会话中。 在JavaWeb中,客户向某一服务器发出第一个请求开始,会话就开始了,直到客户关闭了浏览器会话结束。 在一个会话的多个请求中共享数据,这就是会话跟踪技术。例如在一个会话中的请求如下: 请求银行主页; 请求登录(请求参数是用户名和密码); 请求转账(请求参数与转账相关的数据); 请求信誉卡还款(请求参数与还款相关的数据)。 在这上会话中当前用户信息必须在这个会话中共享的,因为登录的是张三,那么在转账和还款时一定是相对张三的转账和还款!这就说明我们必须在一个会话过程中有共享数据的能力。 会话路径技术使用Cookie或session完成 我们知道HTTP协议是无状态协议,也就是说每个请求都是独立的!无法记录前一次请求的状态。但HTTP协议中可以使用Cookie来完成会话跟踪!在Web开发中,使用session来完成会话跟踪,session底层依赖Cookie技术
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
cookie 总结: 针对每一个服务器浏览器都会保存一个key-value结构的类似于{} 服务端操作cookie obj=HttpResponse("OK") obj=render("") obj=redirect("") # 设置cookie obj.set_cookie("key","value",max_age="") obj.set_signed_cookie(key,value,salt='加密盐',...) # 获取cookie request.COOKIES.get() request.COOKIES['key'] request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None) # 删 obj.delete_cookie("cookie_key",path="/",domain=name) 客户端浏览器操作cookie $.cookie('the_cookie'); // 获得cookie $.cookie('the_cookie', 'the_value'); // 设置cookie $.cookie('the_cookie', 'the_value', { expires: 7 }); //设置带时间的cookie $.cookie('the_cookie', '', { expires: -1 }); // 删除 $.cookie('the_cookie', null); // 删除 cookie $.cookie('the_cookie', 'the_value', {expires: 7, path: '/', domain: 'jquery.com', secure: true});//新建一个cookie 包括有效期 路径 域名等 session # 设置session request.session["username"]="user" # 取出session request.session.get("username") # 删除session del request.session["username"] # request.session.clear() # request.session.flush()
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
Cookie翻译成中文是小甜点,小饼干的意思。在HTTP中它表示服务器送给客户端浏览器的小甜点。其实Cookie是key-value结构,类似于一个python中的字典。随着服务器端的响应发送给客户端浏览器。然后客户端浏览器会把Cookie保存起来,当下一次再访问服务器时把Cookie再发送给服务器。 Cookie是由服务器创建,然后通过响应发送给客户端的一个键值对。客户端会保存Cookie,并会标注出Cookie的来源(哪个服务器的Cookie)。当客户端向服务器发出请求时会把所有这个服务器Cookie包含在请求中发送给服务器,这样服务器就可以识别客户端了! Cookie规范 Cookie大小上限为4KB; 一个服务器最多在客户端浏览器上保存20个Cookie; 一个浏览器最多保存300个Cookie; 上面的数据只是HTTP的Cookie规范,但在浏览器大战的今天,一些浏览器为了打败对手,为了展现自己的能力起见,可能对Cookie规范“扩展”了一些,例如每个Cookie的大小为8KB,最多可保存500个Cookie等!但也不会出现把你硬盘占满的可能! 注意,不同浏览器之间是不共享Cookie的。也就是说在你使用IE访问服务器时,服务器会把Cookie发给IE,然后由IE保存起来,当你在使用FireFox访问服务器时,不可能把IE保存的Cookie发送给服务器。 Cookie与HTTP头 Cookie是通过HTTP请求和响应头在客户端和服务器端传递的: Cookie:请求头,客户端发送给服务器端; 格式:Cookie: a=A; b=B; c=C。即多个Cookie用分号离开; Set-Cookie:响应头,服务器端发送给客户端; 一个Cookie对象一个Set-Cookie: Set-Cookie: a=A Set-Cookie: b=B Set-Cookie: c=C Cookie的覆盖 如果服务器端发送重复的Cookie那么会覆盖原有的Cookie,例如客户端的第一个请求服务器端发送的Cookie是:Set-Cookie: a=A;第二请求服务器端发送的是:Set-Cookie: a=AA,那么客户端只留下一个Cookie,即:a=AA。
Cookie:
就是保存在浏览器端的键值对
可以被人利用它做登录
1、保存在用户浏览器中
2、可以手动去设置中清除
3、也可以被“伪造”
4、跨域名cookie不共享
5、浏览器可以设置不接受cookie,这样会登陆不了淘宝京东等
设置:
服务端操作的Cookie
obj.set_cookie('k1','v1')
obj.set_cookie('k1','v1',max_age=10)
v = datetime.datetime.utcnow() + datetime.timedelta(seconds=10)
obj.set_cookie('k1','v1',max_age=10,expires=v)
path:
/ 表示,全局生效
/xxxx/ 表示,只有当前url生效
domian:
obj.set_cookie('k4','v4',max_age=10,expires=v, domain='oldboy.com')
obj.set_cookie('k1','v1')
httponly: 仅仅HTTP网络传输使用
======================
客户端浏览器上操作cookie
dom --> 麻烦 document.cookie
document.cookie='k1=v1;path:.....'
jquery插件 --> jquery.cookie.js结合jQuery.js使用
Cookie三个重要点:
- 客户端可设置
- 服务端可设置
- 保存在客户端
Cookie的应用:
登录认证
普通cookie
- 敏感信息(直接看到),不宜放置在cookie中,敏感信息放在数据库,频繁操作数据库
签名的cookie
- 敏感信息(可能会被解密)
===========》 cookie做认证时,将不敏感的信息放在cookie中,敏感信息放在数据库,频繁操作数据库 ===========
1、获取Cookie:
1
2
3
4
5
6
|
request.COOKIES[ 'key' ] request.get_signed_cookie(key, default = RAISE_ERROR, salt = '', max_age = None ) 参数: default: 默认值 salt: 加密盐 max_age: 后台控制过期时间 |
2、设置Cookie:
1
2
3
4
5
6
7
8
9
10
11
12
13
|
rep = HttpResponse(...) 或 rep = render(request, ...) rep.set_cookie(key,value,...) rep.set_signed_cookie(key,value,salt = '加密盐' ,...) 参数: key, 键 value = '', 值 max_age = None , 超时时间 expires = None , 超时时间(IE requires expires, so set it if hasn't been already.) path = '/' , Cookie生效的路径, / 表示根路径,特殊的:根路径的cookie可以被任何url的页面访问 domain = None , Cookie生效的域名 secure = False , https传输,可用于需要证书认证的网页 httponly = False 只能http协议传输,无法被JavaScript获取(不是绝对,底层抓包可以获取到也可以被覆盖) |
由于cookie保存在客户端的电脑上,所以,JavaScript和jquery也可以操作cookie。
(1)、下载jquery.cookie.js
官网:http://plugins.jquery.com/cookie/ 或 http://pan.baidu.com/s/1mgynA8g
(2)、使用方法
$.cookie('the_cookie'); // 获得cookie $.cookie('the_cookie', 'the_value'); // 设置cookie $.cookie('the_cookie', 'the_value', { expires: 7 }); //设置带时间的cookie $.cookie('the_cookie', '', { expires: -1 }); // 删除 $.cookie('the_cookie', null); // 删除 cookie $.cookie('the_cookie', 'the_value', {expires: 7, path: '/', domain: 'jquery.com', secure: true});//新建一个cookie 包括有效期 路径 域名等
1
2
|
<script src = '/static/js/jquery.cookie.js' >< / script> $.cookie( "list_pager_num" , 30 ,{ path: '/' }); |
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
def login(request): message = "" if request.method == "POST": user = request.POST.get('user') pwd = request.POST.get('pwd') c = models.Administrator.objects.filter(username=user, password=pwd).count() if c: rep = redirect('/index.html') # rep.set_cookie('username', user) # rep.set_cookie('account', "123123123") # rep.set_cookie('pwd', "asdfasdfasdfasdf") rep.set_signed_cookie('username', user) rep.set_signed_cookie('account', "123123123") rep.set_signed_cookie('pwd', "asdfasdfasdfasdf") return rep # return redirect('/index.html') else: message = "用户名或密码错误" return render(request,'login.html', {'msg': message}) def index(request): # 如果用户已经登录,获取当前登录的用户名 # 否则,返回登录页面 # username = request.COOKIES.get('username') username = request.get_signed_cookie('username') if username: return render(request, 'index.html', {'username': username}) else: return redirect('/login.html')
更多见:https://www.cnblogs.com/yuanchenqi/articles/9036467.html
2.Session
Session是服务器端技术,利用这个技术,服务器在运行时可以 为每一个用户的浏览器创建一个其独享的session对象,由于 session为用户浏览器独享,所以用户在访问服务器的web资源时 ,可以把各自的数据放在各自的session中,当用户再去访问该服务器中的其它web资源时,其它web资源再从用户各自的session中 取出数据为用户服务。
session是服务器端的一个键值对
session内部机制依赖于cookie
request.session['k']
request.session['k1'] = v
request.session['k2'] = v
del request.session['k1']
request.session.clear()
Django中默认支持Session,其内部提供了5种类型的Session供开发者使用:
- 数据库(默认)
- 缓存
- 文件
- 缓存+数据库
- 加密cookie
1、数据库Session
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
Django默认支持Session,并且默认是将Session数据存储在数据库中,即:django_session 表中。 a. 配置 settings.py SESSION_ENGINE = 'django.contrib.sessions.backends.db' # 引擎(默认) SESSION_COOKIE_NAME = "sessionid" # Session的cookie保存在浏览器上时的key,即:sessionid=随机字符串(默认) SESSION_COOKIE_PATH = "/" # Session的cookie保存的路径(默认) SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名(默认) SESSION_COOKIE_SECURE = False # 是否Https传输cookie(默认) SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输(默认) SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期(2周)(默认) SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期(默认) SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session,默认修改之后才保存(默认) b. 使用 def index(request): # 获取、设置、删除Session中数据 request.session['k1'] request.session.get('k1',None) request.session['k1'] = 123 request.session.setdefault('k1',123) # 存在则不设置 del request.session['k1'] # 所有 键、值、键值对 request.session.keys() request.session.values() request.session.items() request.session.iterkeys() request.session.itervalues() request.session.iteritems() # 用户session的随机字符串 request.session.session_key # 将所有Session失效日期小于当前日期的数据删除 request.session.clear_expired() # 检查 用户session的随机字符串 在数据库中是否 request.session.exists("session_key") # 删除当前用户的所有Session数据 request.session.delete("session_key") request.session.set_expiry(value) * 如果value是个整数,session会在些秒数后失效。 * 如果value是个datatime或timedelta,session就会在这个时间后失效。 * 如果value是0,用户关闭浏览器session就会失效。 * 如果value是None,session会依赖全局session失效策略。
2、缓存Session
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
a. 配置 settings.py SESSION_ENGINE = 'django.contrib.sessions.backends.cache' # 引擎 SESSION_CACHE_ALIAS = 'default' # 使用的缓存别名(默认内存缓存,也可以是memcache),此处别名依赖缓存的设置 SESSION_COOKIE_NAME = "sessionid" # Session的cookie保存在浏览器上时的key,即:sessionid=随机字符串 SESSION_COOKIE_PATH = "/" # Session的cookie保存的路径 SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名 SESSION_COOKIE_SECURE = False # 是否Https传输cookie SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输 SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期(2周) SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期 SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session,默认修改之后才保存 b. 使用 同上
3、文件Session
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
a. 配置 settings.py SESSION_ENGINE = 'django.contrib.sessions.backends.file' # 引擎 SESSION_FILE_PATH = None # 缓存文件路径,如果为None,则使用tempfile模块获取一个临时地址tempfile.gettempdir() # 如:/var/folders/d3/j9tj0gz93dg06bmwxmhh6_xm0000gn/T SESSION_COOKIE_NAME = "sessionid" # Session的cookie保存在浏览器上时的key,即:sessionid=随机字符串 SESSION_COOKIE_PATH = "/" # Session的cookie保存的路径 SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名 SESSION_COOKIE_SECURE = False # 是否Https传输cookie SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输 SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期(2周) SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期 SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session,默认修改之后才保存 b. 使用 同上
4、缓存+数据库Session
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
数据库用于做持久化,缓存用于提高效率 a. 配置 settings.py SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db' # 引擎 b. 使用 同上
5、加密cookie Session
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
a. 配置 settings.py SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies' # 引擎 b. 使用 同上
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
def login_session(request): if request.method=='GET': return render(request,'login.html') else: user=request.POST.get('uer') pwd=request.POST.get('pwd') print(user,pwd) user_obj=UserInfo.objects.filter(user=user,pwd=pwd).first() if user_obj: # 用户认证信息存储 request.session["susername"]=user request.session["slogin"]=True ''' if request.COOKIE.get("sessionid"): random_str=request.COOKIE.get("sessionid") 在django-seesion表中过滤session-key=random_str的记录进行update else: 生成一个随机字符串 23423hkjsf890234sd 向django-session表中插入记录 session-key session-data 23423hkjsf890234sd {"susername":"egon","slogin":True} 响应set_cookie : {"sessionid":23423hkjsf890234sd} ''' return redirect("/index_session/") else: return HttpResponse('error') def index_session(request): ''' request.session request.COOKIE.get("sessionid") :23423hkjsf890234sd 在django-session表过滤session-key=23423hkjsf890234sd的记录 取过滤记录的session-data反序列化成数据字典:{"susername":"egon","slogin":True} ''' slogin=request.session.get("slogin") if not slogin: return redirect("/login_session/") susername=request.session.get("susername") name="123" shangpin = "香蕉" shangpin_list = ["苹果", "荔枝", "榴莲"] return render(request, 'index.html', {'name': susername, 'shangpin': shangpin, 'shangpin_list': shangpin_list}) def logout(request): ''' request.COOKIE.get("sessionid") :23423hkjsf890234sd 在django-session表过滤session-key=23423hkjsf890234sd的记录删除 response.delete_cookie("sessionid") ''' request.session.flush() return redirect("/login_session/")
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
def login(request): message = "" v = request.session print(type(v)) from django.contrib.sessions.backends.db import SessionStore if request.method == "POST": user = request.POST.get('user') pwd = request.POST.get('pwd') c = models.Administrator.objects.filter(username=user, password=pwd).count() if c: request.session['is_login'] = True request.session['username'] = user rep = redirect('/index.html') return rep else: message = "用户名或密码错误" obj = render(request,'login.html', {'msg': message}) return obj def logout(request): request.session.clear() return redirect('/login.html') def auth(func): def inner(request, *args, **kwargs): is_login = request.session.get('is_login') if is_login: return func(request, *args, **kwargs) else: return redirect('/login.html') return inner @auth def index(request): current_user = request.session.get('username') return render(request, 'index.html',{'username': current_user}) @auth def handle_classes(request): current_user = request.session.get('username') return render(request, 'classes.html', {'username': current_user}) def handle_student(request): is_login = request.session.get('is_login') if is_login: current_user = request.session.get('username') return render(request, 'student.html', {'username': current_user}) else: return redirect('/login.html') def handle_teacher(request): is_login = request.session.get('is_login') if is_login: current_user = request.session.get('username') return render(request, 'teacher.html', {'username': current_user}) else: return redirect('/login.html')
扩展:Session用户验证
1
2
3
4
5
6
7
|
def login(func): def wrap(request, * args, * * kwargs): # 如果未登陆,跳转到指定页面 if request.path = = '/test/' : return redirect( 'http://www.baidu.com' ) return func(request, * args, * * kwargs) return wrap |