第十三章 cookies和session

1. cookies

1.1 简介

1. 什么是Cookies

Cookie具体指的是一段小信息，它是服务器发送出来存储在浏览器上的一组组键值对，下次访问服务器时浏览器会自动携带这些键值对，以便服务器提取有用信息。

2. Cookies的由来

大家都知道HTTP协议是无状态的。
无状态的意思是每次请求都是独立的，它的执行情况和结果与前面的请求和之后的请求都无直接关系，它不会受前面的请求响应情况直接影响，也不会直接影响后面的请求响应情况。
一句有意思的话来描述就是人生只如初见，对服务器来说，每次的请求都是全新的。
状态可以理解为客户端和服务器在某次会话中产生的数据，那无状态的就以为这些数据不会被保留。会话中产生的数据又是我们需要保存的，也就是说要“保持状态”。因此Cookie就是在这样一个场景下诞生。

3. Cookies原理

cookie的工作原理是：由服务器产生内容，浏览器收到请求后保存在本地；
当浏览器再次访问时，浏览器会自动带上Cookie，这样服务器就能通过Cookie的内容来判断这个是“谁”了。

4. 定义

保存在浏览器本地上一组组健值对
cookies是用来保存信息的
cookies为了解决http无状态的问题
cookies在请求头中

5. 特点

由服务器让浏览器进行设置
浏览器保存在浏览器本地
下次访问时，自动携带

6. 应用

登录
保存用户个性化配置
简单的投票

# {%csrf_token%}也会有cookies
from django.views import View
class Login(View):
    ret = redirect('/index/')
    ret.set_cookie('is_login', 1)
    return ret

Response Cookies：服务器让浏览器设置的set-cookies，以便下次请求携带

# 获取cookies,封装在requst对象中，dict类型
print(request.COOKIES.get('is_login'))

1.2 django操作cookies

HttpResponse对象.set_cookie=(key, value).
- set-cookies的响应头，浏览器获得并设置cookies
获取request.COOKIES.get('key')

1. 设置cookie

response对象.set_cookie方法
request.COOKIES的类型是dict
默认浏览器关闭，cookies就会失效

rep = HttpResponse的对象
# set_cookie方法
def set_cookie(self, key, value='', max_age=None, expires=None, path='/',
                   domain=None, secure=False, httponly=False):
  pass
# 一般来说，key和value为必选参数
rep.set_cookie(key,value,...)
# 服务端获取cookies
request.COOKIES.get('key')

response对象.set_signed_cookie方法

# set_signed_cookie方法
def set_signed_cookie(self, key, value, salt='', **kwargs):
    value = signing.get_cookie_signer(salt=key + salt).sign(value)
    return self.set_cookie(key, value, **kwargs)
# 给cookie进行加密
rep.set_signed_cookie(key,value,salt='加密盐',...)

# 设置加密的cookie
HttpResponse对象.set_signed_cookie('login_status', salt='xxx')
# 5s后失效
HttpResponse对象.set_signed_cookie('login_status', salt='xxx', max_age=5)

print(request.get_signed_cookie('login_status', salt='xxx', default=''))
# <bound method HttpRequest.get_signed_cookie of <WSGIRequest: GET '/index/'>>

2. cookie的参数：

key, 键；
value='', 值
max_age=None, 超时时间
expires=None, 超时时间(IE requires expires, so set it if hasn't been already.)，ie浏览器
path='/', Cookie生效的路径，/ 表示根路径，特殊的：根路径的cookie可以被任何url的页面访问，指定路径生效
domain=None, Cookie生效的域名
secure=False(默认值)，改成True表示只能使用https协议传输
httponly=False(默认值)， True表示只能http协议传输，无法被JavaScript获取（不是绝对，底层抓包可以获取到也可以被覆盖）

3. 删除cookies(2)

设置cookie，value=0， expires=0，即立即失效

def logout(request):
    rep = redirect("/login/")
    # 方式一
    rep.delete_cookie("user")  # 删除用户浏览器上之前设置的user的cookie值
    # 方式二
    rep.set_cookie('login', '')
    return rep

1.3 登录示例

# views.py
from django.views import View
# 装饰器函数
def login_status(func):
    def inner(request, *args, **kwargs):
        # # 没有加盐
        status = request.COOKIES.get('login')
        # print(request.COOKIES)
        # 加盐
        # status = request.get_signed_cookie('login', default='', salt='xxx')
        # print(request.get_signed_cookie)
        if status != '1':
            return redirect('/login/?return_url={}'.format(request.path_info))
        return func(request, *args, **kwargs)
    return inner
# 登陆处理
class Login(View):
    def get(self, request):
        return render(request, 'login.html')
    def post(self, request):
        username = request.POST.get('username')
        pwd = request.POST.get('pwd')
        if username == 'henry' and pwd == '123':
            url = request.GET.get('return_url', 'index')
            response = redirect('{}'.format(url))
            # 不加盐
            response.set_cookie('login', 1)
            # # 给cookie加盐
            # response.set_signed_cookie('login', 1, salt='xxx')
            return response
        return render(request, 'login.html', {'error': '用户名或密码错误'})
      
# 登出处理
def logout(request):
    ret = render(request, 'login.html')
    ret.set_cookie('login', '')
    return ret

2. Session

Cookie虽然在一定程度上解决了“保持状态”的需求，但是由于Cookie本身最大支持4096字节，以及Cookie本身保存在客户端，可能被拦截或窃取，因此就需要有一种新的东西，它能支持更多的字节，并且他保存在服务器，有较高的安全性。这就是Session。
问题来了，基于HTTP协议的无状态特征，服务器根本就不知道访问者是“谁”。那么上述的Cookie就起到桥接的作用。
我们可以给每个客户端的Cookie分配一个唯一的id，这样用户在访问时，通过Cookie，服务器就知道来的人是“谁”。然后我们再根据不同的Cookie的id，在服务器上保存一段时间的私密资料，如“账号密码”等等。
总而言之：Cookie弥补了HTTP无状态的不足，让服务器知道来的人是“谁”；但是Cookie以文本的形式保存在本地，自身安全性较差；所以我们就通过Cookie识别不同的用户，对应的在Session里保存私密的信息以及超过4096字节的文本。
另外，上述所说的Cookie和Session其实是共通性的东西，不限于语言和框架。

2.1 定义

1. 定义

Session保存在服务器上的一组组健值对(必须依赖cookies使用)

2. 为什么要有session？

cookie保存在浏览器本地
cookie的字节长度会有限制(不同浏览器会对cookies有限制)
本质：把浏览器需要保存的cookies迁移到服务端

3. session存储

Django默认把session保存到数据表中
session还可以存储到(4个位置)：cache、cache-db、file、signed_cookies

2.2 使用

> python manange.py makemigrations
> python manange.py migrate
# session 会有一张django_session表

1.操作session

# 使用session可以使用 int类型
# 设置session
request.session['key'] = 1
# 获取session
value = request.session.get('key')

session流程

浏览器发送请求到服务器
根据浏览器，生成一个随机字符串，保存到django.session表的session key, 用户状态保存到session data中
服务器把session key 返回给浏览器（cookies，sessionid）
浏览器下次请求时，需要携带

2. 其他操作

expired-date默认是2周
文件型数据库(sqlite3)不可以改时间，使用mysql可以解决
获取操作
- request.session[] / .get('key')
设置(3)
- request.session['key']=value：添加session元素
- request.session.setdefault('key', 'value')：有则不变，无则添加
- request.session.set_expiry()：设置session到期时间
删除(5)
- del request.session['key']：删除当前sessoin，不删除cookies
- request.session.pop('key')
- request.session.delete()：删除当前sessoin的数据，不删除cookies，即sessionid
- request.session.flush()：删除当前session 和cookies
- request.session.clear_expired()：从数据库删除过期session

# 获取、设置、删除Session中数据
request.session['k1']
request.session.get('k1',None)
# 设置
request.session['k1'] = 123
request.session.setdefault('k1',123) # 存在则不设置
# 删除
del request.session['k1']

# 所有 键、值、键值对
request.session.keys()
request.session.values()
request.session.items()

# 将所有Session失效日期小于当前日期的数据删除
1. request.session.clear_expired()
# 数据表中会话session_key，cookies的sessionid值，加密
2. request.session.session_key
# 检查会话session的key在数据库中是否存在
3. request.session.exists("session_key") 
# 如 request.session.exists(request.session.session_key) 

# 删除当前会话的所有Session数据，不删除cookie
4. request.session.delete()
# 删除当前的会话数据并删除会话的Cookie。
5. request.session.flush() 
    # 这用于确保前面的会话数据不可以再次被用户的浏览器访问
    # 例如，django.contrib.auth.logout() 函数中就会调用它。
# 设置会话Session和Cookie的超时时间
6. request.session.set_expiry(value)
    # 如果value是个整数，session会在些秒数后失效。
    # 如果value是个datatime或timedelta，session就会在这个时间后失效。
    # 如果value是0,用户关闭浏览器session就会失效。
    # 如果value是None,session会依赖全局session失效策略。
    # value如果是 -1 表示关闭浏览器失效

2.3 Django中session的配置

1. 数据库Session
SESSION_ENGINE = 'django.contrib.sessions.backends.db'   # 引擎（默认）

2. 缓存Session
SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # 引擎
SESSION_CACHE_ALIAS = 'default'                            # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置

3. 文件Session
SESSION_ENGINE = 'django.contrib.sessions.backends.file'    # 引擎
SESSION_FILE_PATH = None                                    # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir() 

4. 缓存+数据库
SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db'        # 引擎

5. 加密Cookie Session
SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies'   # 引擎

其他公用设置项：
SESSION_COOKIE_NAME ＝ "sessionid"                       # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）
SESSION_COOKIE_PATH ＝ "/"                               # Session的cookie保存的路径（默认）
SESSION_COOKIE_DOMAIN = None                             # Session的cookie保存的域名（默认）
SESSION_COOKIE_SECURE = False                            # 是否Https传输cookie（默认）
SESSION_COOKIE_HTTPONLY = True                           # 是否Session的cookie只支持http传输（默认）
SESSION_COOKIE_AGE = 1209600                             # Session的cookie失效日期（2周）（默认）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False                  # 是否关闭浏览器使得Session过期（默认）
SESSION_SAVE_EVERY_REQUEST = False                       # 是否每次请求都保存Session，默认修改之后才保存（默认）,如果为True则每次请求进行刷新 expired_date

查看django中的session默认的settings

from django.conf import global.settings
from … import db

2.4 session登陆示例

# views.py
from django.views import View
# 装饰器函数
def login_status(func):
    def inner(request, *args, **kwargs):
                status = request.session.get('login')
        if status != 1:
            return redirect('/login/?return_url={}'.format(request.path_info))
        return func(request, *args, **kwargs)
    return inner
# 登陆处理
class Login(View):
    def get(self, request):
        return render(request, 'login.html')
    def post(self, request):
        username = request.POST.get('username')
        pwd = request.POST.get('pwd')
        if username == 'henry' and pwd == '123':
              # 设置session
              request.session['login']=1
            url = request.GET.get('return_url', 'index')
            response = redirect('{}'.format(url))
            return response
        return render(request, 'login.html', {'error': '用户名或密码错误'})
      
# 登出处理
def logout(request):
    ret = render(request, 'login.html')
    requst.session['login']=''
    return ret

3. Cookie的生命周期

如果不设置过期时间，则表示这个cookie生命周期为浏览器会话期间(默认)，只要关闭浏览器窗口，cookie就消失了。
这种生命期为浏览会话期的cookie被称为会话cookie。会话cookie一般不保存在硬盘上而是保存在内存里。
如果设置了过期时间，浏览器就会把cookie保存到硬盘上，关闭后再次打开浏览器，这些cookie依然有效直到超过设定的过期时间。存储在硬盘上的cookie可以在不同的浏览器进程间共享，比如两个IE窗口。而对于保存在内存的cookie，不同的浏览器有不同的处理方式。

posted @ 2020-05-28 16:10 炜琴清阅读(129) 评论(0) 编辑收藏举报

刷新页面返回顶部

第十三章 cookies和session

1. cookies

1.1 简介

1. 什么是Cookies

2. Cookies的由来

3. Cookies原理

4. 定义

5. 特点

6. 应用

1.2 django操作cookies

1. 设置cookie

2. cookie的参数：

3. 删除cookies(2)

1.3 登录示例

2. Session

2.1 定义

1. 定义

2. 为什么要有session？

3. session存储

2.2 使用

1.操作session

2. 其他操作

2.3 Django中session的配置

2.4 session登陆示例

3. Cookie的生命周期

公告