session

session介绍

一个用户、一个服务端、一个浏览器客户端只能对应一个cookie(session_id)及django_session表中的一条记录！

cookie存在的问题

　　Cookie虽然在一定程度上解决了“保持状态”的需求，但是由于Cookie本身最大支持4096字节，以及Cookie本身保存在客户端，可能被拦截或窃取，因此就需要有一种新的东西，它能支持更多的字节，并且他保存在服务器，有较高的安全性。这就是Session。

　　问题来了，基于HTTP协议的无状态特征，服务器根本就不知道访问者是“谁”。那么上述的Cookie就起到桥接的作用。

　　我们可以给每个客户端的Cookie分配一个唯一的id，这样用户在访问时，通过Cookie，服务器就知道来的人是“谁”。然后我们再根据不同的Cookie的id，在服务器上保存一段时间的私密资料，如“账号密码”等等。

　　总结而言：Cookie弥补了HTTP无状态的不足，让服务器知道来的人是“谁”；但是Cookie以文本的形式保存在本地，自身安全性较差；所以我们就通过Cookie识别不同的用户，对应的在Session里保存私密的信息以及超过4096字节的文本。

　　另外，上述所说的Cookie和Session其实是共通性的东西，不限于语言和框架。

session简介

　　Session是服务器端技术，利用这个技术，服务器在运行时可以 为每一个用户的浏览器创建一个其独享的session对象，由于 session为用户浏览器独享，所以用户在访问服务器的web资源时 ，可以把各自的数据放在各自的session中，当用户再去访问该服务器中的其它web资源时，其它web资源再从用户各自的session中 取出数据为用户服务。

几个关键问题 ***

一

　　session是在cookie的基础上做的～

　　过程：浏览器的cookie中保存的是session_id这个随机字符串的值～～后台django_session表中session_key字段跟这个session_id对应～每次发送请求的时候～浏览器都会带上这个session_id去后台数据库中找django_session表中是否有session_key跟自己一样的～如果有并且没有超时的话就可以获取session_data的值～然后后台解码进行相应的逻辑判断

二

　　同一个浏览器上，如果一个用户已经登陆了，如果此时你再用同一个浏览器以另外一个用户来登陆，那么后续的操作是在第一个用户的页面上进行还是在第二个用户的页面上呢？

　　其实，一个浏览器和一个网站是不能保持两个用户的对话的！

　　以博客园的登陆为例，第一个用户登陆完，此时浏览器中存着他的sessionid，第二个用户在同一个浏览器上再次登陆博客园的时候会带着自己的sessionid，并覆盖掉了第一个用户的sessionid，此时如果你再在之前第一个用户的页面点击需要用户认证才能操作的内容，你会发现，页面会重定向到第二个用户的操作页面！（注意：公众都能访问的a标签不算）。

三

　　还有，用同一个浏览器登陆的话，在django-session表里是否每次都会给你添加一条session记录呢？

　　如果每个用户每次登陆都添加一条sesson的记录，那么这个用户基本上每次重启浏览器后都要进行再次登陆的操作了；而且server端数据库的django_session表也得无节制的去添加记录了！

　　所以，当你在同一个浏览器用同一个用户名去登陆同一个网站的时候，后台都会将你之前登陆的那个session记录给你更新掉。也就是说对于你每一次的登陆，如果你带着一个之前记录的session_id(存在浏览器的cookie中)，数据库不是新添加一条记录，而是根据你的session_id找到数据库中的session_key字段对应的那条记录（浏览器的cookie中的session_id值跟后台数据库中的session_key字段的值一样），然后更新那条记录的session_data和expire_date的值～

　　也就是说那条记录的钥匙还是它，但是加密后的数据以及超时时间变了。

四

　　如果我过了很久再来登陆，如果浏览器的session_id都没有了怎么办呢？

　　如果当你浏览器上的session_id没有了的话，server 端数据库中django-session表里的关于你这个用户的session记录肯定被删掉了。

　　后台可以做一个脚本～将所有Session失效日期小于当前日期的数据删除，将过期的删除～执行clear_expired()方法

五

　　当你登陆之后，你把登陆之后的网址拿到另外一个浏览器上去访问是需要重新进行认证的！

　　因为另外一台浏览器没有保存你登陆的cookie～没有cookie当然找不到sessionid～当你在另外一个浏览器上又输入了用户名和密码登陆后，那么在server 端数据库中的django-session表里面又会多一条记录！

　　原因是：一个网站对一个浏览器只有一个sessionid，换一个浏览器客户端，肯定会生成另外一个sessionid，django-session表里面的session_key肯定不同了！，但是session_data字段的数据是一样的，当然，最终加密成什么数据还是要看后台程序的加密规则的。

Django操作session

Django中session相关的方法

这些都是django提供的方法，其他的框架就需要你自己关于cookie和session的方法了～

#获取、设置、删除Session中数据

#取值
request.session['k1'] 
request.session.get('k1',None) #request.session这句是帮你从cookie里面将sessionid的值取出来，
                               #将django-session表里面的对应sessionid的值的那条记录中的session-data字段的数据给你拿出来（并解密）,
                               #get方法就取出k1这个键对应的值
                               #建议用get方法取值～如果没有值的话不会报错，默认返回一个None

#设置值
request.session['k1'] = 123
request.session.setdefault('k1',123) # 存在则不设置
#帮你生成随机字符串，帮你将这个随机字符串和用户数据（加密后）和过期时间保存到了django-session表里面，
#并帮你将这个随机字符串以sessionid：随机字符串的形式添加到cookie里面返回给浏览器,这个sessionid名字是可以改的
#但是注意一个事情，django-session这个表，你不能通过orm来直接控制，因为你的models.py里面没有这个对应关系

#删除值
del request.session['k1']  #django-session表里面同步删除

# 所有 键、值、键值对
request.session.keys()
request.session.values()
request.session.items()

# 会话session的key
session_key = request.session.session_key  获取sessionid的值

# 将所有Session失效日期小于当前日期的数据删除，将过期的删除
request.session.clear_expired()

# 检查会话session的key在数据库中是否存在
request.session.exists("session_key") #session_key就是那个sessionid的值

# 删除当前会话的所有Session数据
request.session.delete()
　　
# 删除当前的会话数据并删除会话的Cookie。
request.session.flush()    #常用，清空所有cookie---删除session表里的这个会话的记录，
这用于确保前面的会话数据不可以再次被用户的浏览器访问
例如，django.contrib.auth.logout() 函数中就会调用它。

# 设置会话Session和Cookie的超时时间
request.session.set_expiry(value)
    * 如果value是个整数，session会在些秒数后失效。
    * 如果value是个datatime或timedelta，session就会在这个时间后失效。
    * 如果value是0,用户关闭浏览器session就会失效。
    * 如果value是None,session会依赖全局session失效策略。

Session详细流程解析

session版登陆验证事例：装饰器统一check处理

from functools import wraps


def check_login(func):
    @wraps(func)
    def inner(request, *args, **kwargs):
        next_url = request.get_full_path()
        if request.session.get("user"):
            return func(request, *args, **kwargs)
        else:
            return redirect("/login/?next={}".format(next_url))
    return inner


def login(request):
    if request.method == "POST":
        user = request.POST.get("user")
        pwd = request.POST.get("pwd")

        if user == "alex" and pwd == "alex1234":
            # 设置session
            request.session["user"] = user
            # 获取跳到登陆页面之前的URL
            next_url = request.GET.get("next")
            # 如果有，就跳转回登陆之前的URL
            if next_url:
                return redirect(next_url)
            # 否则默认跳转到index页面
            else:
                return redirect("/index/")
    return render(request, "login.html")


@check_login
def logout(request):
    # 删除所有当前请求相关的session
    request.session.flush()
    return redirect("/login/")


@check_login
def index(request):
    current_user = request.session.get("user", None)
    return render(request, "index.html", {"user": current_user})

Django中的Session配置

Django中默认支持Session，其内部提供了5种类型的Session供开发者使用。

1. 数据库Session
SESSION_ENGINE = 'django.contrib.sessions.backends.db'     # 引擎（默认）

2. 缓存Session
SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # 引擎
SESSION_CACHE_ALIAS = 'default'                            # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置

3. 文件Session
SESSION_ENGINE = 'django.contrib.sessions.backends.file'    # 引擎
SESSION_FILE_PATH = None                                    # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir() 

4. 缓存+数据库
SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db'        # 引擎

5. 加密Cookie Session
SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies'   # 引擎

其他公用设置项：
SESSION_COOKIE_NAME ＝ "sessionid"                       # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）
SESSION_COOKIE_PATH ＝ "/"                               # Session的cookie保存的路径（默认）
SESSION_COOKIE_DOMAIN = None                             # Session的cookie保存的域名（默认）
SESSION_COOKIE_SECURE = False                            # 是否Https传输cookie（默认）
SESSION_COOKIE_HTTPONLY = True                           # 是否Session的cookie只支持http传输（默认）
SESSION_COOKIE_AGE = 1209600                             # Session的cookie失效日期（2周）（默认）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False                  # 是否关闭浏览器使得Session过期（默认）
SESSION_SAVE_EVERY_REQUEST = False                       # 是否每次请求都保存Session，默认修改之后才保存（默认）

CBV模式中加装饰器相关说明 *****

关于FBV与CBV的详细说明见这篇博客：https://www.cnblogs.com/paulwhw/articles/10896667.html

CBV实现的登录视图

class LoginView(View):

    def get(self, request):
        """
        处理GET请求
        """
        return render(request, 'login.html')

    def post(self, request):
        """
        处理POST请求 
        """
        user = request.POST.get('user')
        pwd = request.POST.get('pwd')
        if user == 'alex' and pwd == "alex1234":
            next_url = request.GET.get("next")
            # 生成随机字符串
            # 写浏览器cookie -> session_id: 随机字符串
            # 写到服务端session：
            # {
            #     "随机字符串": {'user':'alex'}
            # }
            request.session['user'] = user
            if next_url:
                return redirect(next_url)
            else:
                return redirect('/index/')
        return render(request, 'login.html')

为CBV模式加check_login装饰器主要有三种方法，

当然首先得引入一下：

from django.utils.decorators import method_decorator

加在CBV视图的get或post方法上

from django.utils.decorators import method_decorator

class HomeView(View):

    def dispatch(self, request, *args, **kwargs):
        return super(HomeView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return render(request, "home.html")
    
    @method_decorator(check_login)
    def post(self, request):
        print("Home View POST method...")
        return redirect("/index/")

加在dispatch方法上

因为CBV中首先执行的就是dispatch方法，所以这么写相当于给get和post方法都加上了登录校验：

from django.utils.decorators import method_decorator

class HomeView(View):

    @method_decorator(check_login)
    def dispatch(self, request, *args, **kwargs):
        return super(HomeView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return render(request, "home.html")

    def post(self, request):
        print("Home View POST method...")
        return redirect("/index/")

直接加在视图类上

但是注意：method_decorator必须传 name 关键字参数！

而且～如果get方法和post方法都需要登录校验的话就写两个装饰器！

from django.utils.decorators import method_decorator

@method_decorator(check_login, name="get")
@method_decorator(check_login, name="post")
class HomeView(View):

    def dispatch(self, request, *args, **kwargs):
        return super(HomeView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return render(request, "home.html")

    def post(self, request):
        print("Home View POST method...")
        return redirect("/index/")

关于CSRF Token相关装饰器在CBV模式下使用的补充 ***

CSRF Token相关装饰器在CBV只能加到dispatch方法上，或者加在视图类上然后name参数指定为dispatch方法！

备注：

csrf_protect，为当前函数强制设置防跨站请求伪造功能，即便settings中没有设置全局中间件。

csrf_exempt，取消当前函数防跨站请求伪造功能，即便settings中设置了全局中间件。

写法1

from django.views.decorators.csrf import csrf_exempt, csrf_protect
from django.utils.decorators import method_decorator


class HomeView(View):

    @method_decorator(csrf_exempt)
    def dispatch(self, request, *args, **kwargs):
        return super(HomeView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return render(request, "home.html")

    def post(self, request):
        print("Home View POST method...")
        return redirect("/index/")

写法2

from django.views.decorators.csrf import csrf_exempt, csrf_protect
from django.utils.decorators import method_decorator


@method_decorator(csrf_exempt, name='dispatch')
class HomeView(View):
   
    def dispatch(self, request, *args, **kwargs):
        return super(HomeView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return render(request, "home.html")

    def post(self, request):
        print("Home View POST method...")
        return redirect("/index/")