Django中的Cookie和Session操作以及CBV
1.Cookie
平常我们在浏览网页的时候,在需要输入密码的地方,如果已经登陆了一次,并且时间间隔比较近的话,是不需要登陆的,为什么了?这就是Cookie的作用。
Cookie(或Cookies)指某些网站为了辨别用户身份、进行session跟踪而储存在用户本地终端上的数据(通常经过加密)。
Cookie中不但可以确认用户,还能包含计算机和浏览器的信息,所以一个用户用不同的浏览器登录或者用不同的计算机登录,都会得到不同的cookie信息,
另一方面,对于在同一台计算机上使用同一浏览器的多用户群,cookie不会区分他们的身份,除非他们使用不同的用户名登录。
如果是从软件开发的角度来看Cookie就是保存在浏览器端的键值对。
如何理解Cookie?它是干啥的?
比如你开车回你家小区,之前没办卡每次都要停车,让别人检查进去,这就像登陆web服务器一样,
之后你办理卡,让它自动识别,以后你就不用之前的那样停下来验证身份了,Cookie就像你手中的那张卡,保存了你的信息,
而且系统能够识别,信息并且有效。如果那天系统不认了、或者换代了过期了啥的就像cookie不能用了一样。
Cookie是别人给你的身份证明,不过话说回来,身份证明只是它的一个方面。
下面是一个最简单的登陆验证:使用Cookie可以免去登陆的过程
def login(request): if request.method == "POST": user=request.POST.get("username") pwd =request.POST.get("password") #检验用户名密码是否正确 if user == "kebi" and pwd == "123": #登陆成功 #本来是直接跳转一个页面的,现在我们给它加上Cookie信息,在跳转的时候 rep = redirect("/index/") # rep.set_cookie("username",user) #这样直接传值太不安全,Django也提供了加盐的操作 rep.set_signed_cookie("username2",user,salt="haha",max_age=10) return rep return render(request,"login.html") def index(request): #当然在这里也可以获取信息 # user = request.COOKIES.get("username") # 这样取出来的是这个kebi:1eed7b:GrTaRGzDQ90BErbMqwupnLXOfko #怎样原样取出来了? #还要告诉他用什么盐解开 user=request.get_signed_cookie("username2",None,salt="haha") if not user: return redirect("/login/") return render(request,"index.html",{"username":user})
如果在web端设置Cookie信息,web服务器会在第一次请求的时候,将Cookie信息跟随响应一起发送到客户端的固定路径保存,
至于Cookie里面设置了什么信息就是程序开发者决定的了。
每次客户端的登陆,web服务器都会去固定的路径下去寻找Cookie,如果存在且在且满足条件那么就可以免登陆了。
下面对Cookie的一些操作加以说明:
(1)设置Cookie
rep = HttpResponse(...) rep = render(request, ...) #在web服务器处理请求的时候进行Cookie添加 rep.set_cookie(key,value,...) rep.set_signed_cookie(key,value,salt='加密盐',...)
除此之外,还有许多其它的参数:
- key, 键
- value='', 值
- max_age=None, 超时时间
- expires=None, 超时时间(IE requires expires, so set it if hasn't been already.)
- path='/', Cookie生效的路径,/ 表示根路径,特殊的:根路径的cookie可以被任何url的页面访问
- domain=None, Cookie生效的域名
- secure=False, https传输
- httponly=False 只能http协议传输,无法被JavaScript获取(不是绝对,底层抓包可以获取到也可以被覆盖)
(2)获取Cookie
request.COOKIES['key'] request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None)
- default: 默认值
- salt: 加密盐
- max_age: 后台控制过期时间
(3)删除Cookie
def logout(request): rep = redirect("/login/") rep.delete_cookie("user") # 删除用户浏览器上之前设置的usercookie值 return rep
不过Django自带的Cookie加盐的机制太过粗糙,所以一般不怎么使用,都是使用Cookie+Session联合使用。
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
def check_login(func): @wraps(func) def inner(request, *args, **kwargs): next_url = request.get_full_path() if request.get_signed_cookie("login", salt="SSS", default=None) == "yes": # 已经登录的用户... return func(request, *args, **kwargs) else: # 没有登录的用户,跳转刚到登录页面 return redirect("/login/?next={}".format(next_url)) return inner def login(request): if request.method == "POST": username = request.POST.get("username") passwd = request.POST.get("password") if username == "xxx" and passwd == "dashabi": next_url = request.GET.get("next") if next_url and next_url != "/logout/": response = redirect(next_url) else: response = redirect("/class_list/") response.set_signed_cookie("login", "yes", salt="SSS") return response return render(request, "login.html")
2.Session
from app01 import models # Create your views here. def login(request): if request.method == "POST": user = request.POST.get("user") pwd = request.POST.get("pwd") ret = models.user_info.objects.filter(user=user,pwd=pwd) if ret: #如果这个用户已经存在,就设置一个session request.session["user"] = user return redirect("/index/") return render(request,"login.html") #session过程详解 #1.生成一个随机字符串 #2.写cookie,django会将sessionID保存在cookie中 #3.最终的会话信息会保存在django_session,那个sessionID会作为取值的ID def index(request): #用户要访问主页的时候,首先看他有没有user这个sessionID user = request.session.get("user") #如果没有,那么就返回登录页面 if not user: return redirect("/login/") #否则返回主页 return render(request,"index.html") def log_out(request): #这下面的是一种清除的手段,算是较为方便的了 #至于中间实现的过程是由django帮你完成的 #它会帮你先找到当前页面的cookie,然后带着sessionID去数据库中删除 request.session.flush() return redirect("/login/") #还有一种是del request.session["user"] #关键是你先要获取user,比较麻烦 # 注意: # 不同的用户在同一个浏览器上只会生成一个session信息, # 既然是会话,那么只有一种对应关系,不可能说多个用户对一个浏览器有多个会话同时存在, # 那样session的数量就会非常的庞大 # 同一个用户,在不同的浏览器登录会生成多个Session会话信息
Django中默认支持Session,其内部提供了5种类型的Session供开发者使用:
- 数据库(默认)
- 缓存
- 文件
- 缓存+数据库
- 加密cookie
(1)数据库中的Session
SESSION_ENGINE = 'django.contrib.sessions.backends.db' # 引擎(默认)
(2)缓存Session
SESSION_ENGINE = 'django.contrib.sessions.backends.cache' # 引擎 SESSION_CACHE_ALIAS = 'default' # 使用的缓存别名(默认内存缓存,也可以是memcache),此处别名依赖缓存的设置
(3)文件Session
SESSION_ENGINE = 'django.contrib.sessions.backends.file' # 引擎 SESSION_FILE_PATH = None # 缓存文件路径,如果为None,则使用tempfile模块获取一个临时地址tempfile.gettempdir()
(4)缓存+数据库
SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db' # 引擎
(5)加密Cookie Session
SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies' # 引擎
其它公共设置项:
SESSION_COOKIE_NAME = "sessionid" # Session的cookie保存在浏览器上时的key,即:sessionid=随机字符串(默认) SESSION_COOKIE_PATH = "/" # Session的cookie保存的路径(默认) SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名(默认) SESSION_COOKIE_SECURE = False # 是否Https传输cookie(默认) SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输(默认) SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期(2周)(默认) SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期(默认) SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session,默认修改之后才保存(默认)
不管你怎么设置Session,使用方式都一样,下面是一些常用的操作:
def index(request): # 获取、设置、删除Session中数据 request.session['k1'] request.session.get('k1',None) request.session['k1'] = 123 request.session.setdefault('k1',123) # 存在则不设置 del request.session['k1'] # 所有 键、值、键值对 request.session.keys() request.session.values() request.session.items() request.session.iterkeys() request.session.itervalues() request.session.iteritems() # 用户session的随机字符串 request.session.session_key # 将所有Session失效日期小于当前日期的数据删除 request.session.clear_expired() # 检查 用户session的随机字符串 在数据库中是否 request.session.exists("session_key") # 删除当前用户的所有Session数据 request.session.delete() request.session.set_expiry(value) * 如果value是个整数,session会在些秒数后失效。 * 如果value是个datatime或timedelta,session就会在这个时间后失效。 * 如果value是0,用户关闭浏览器session就会失效。 * 如果value是None,session会依赖全局session失效策略。
Session版登陆验证
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
from functools import wraps def check_login(func): @wraps(func) def inner(request, *args, **kwargs): next_url = request.get_full_path() if request.session.get("user"): return func(request, *args, **kwargs) else: return redirect("/login/?next={}".format(next_url)) return inner def login(request): if request.method == "POST": user = request.POST.get("user") pwd = request.POST.get("pwd") if user == "alex" and pwd == "alex1234": # 设置session request.session["user"] = user # 获取跳到登陆页面之前的URL next_url = request.GET.get("next") # 如果有,就跳转回登陆之前的URL if next_url: return redirect(next_url) # 否则默认跳转到index页面 else: return redirect("/index/") return render(request, "login.html") @check_login def logout(request): # 删除所有当前请求相关的session request.session.delete() return redirect("/login/") @check_login def index(request): current_user = request.session.get("user", None) return render(request, "index.html", {"user": current_user})
3.CBV中加装饰器相关
CBV实现的登陆视图
class LoginView(View): def get(self, request): """ 处理GET请求 """ return render(request, 'login.html') def post(self, request): """ 处理POST请求 """ user = request.POST.get('user') pwd = request.POST.get('pwd') if user == 'alex' and pwd == "alex1234": next_url = request.GET.get("next") # 生成随机字符串 # 写浏览器cookie -> session_id: 随机字符串 # 写到服务端session: # { # "随机字符串": {'user':'alex'} # } request.session['user'] = user if next_url: return redirect(next_url) else: return redirect('/index/') return render(request, 'login.html')
要在CBV视图中使用我们上面的check_login装饰器,有以下三种方式:
from django.utils.decorators import method_decorator
(1)加在CBV视图的get或post方法上
from django.utils.decorators import method_decorator class HomeView(View): def dispatch(self, request, *args, **kwargs): return super(HomeView, self).dispatch(request, *args, **kwargs) def get(self, request): return render(request, "home.html") @method_decorator(check_login) def post(self, request): print("Home View POST method...") return redirect("/index/")
(2)加在dispatch方法上
from django.utils.decorators import method_decorator class HomeView(View): @method_decorator(check_login) def dispatch(self, request, *args, **kwargs): return super(HomeView, self).dispatch(request, *args, **kwargs) def get(self, request): return render(request, "home.html") def post(self, request): print("Home View POST method...") return redirect("/index/")
因为CBV中首先执行的就是dispatch方法,所以这么写相当于给get和post方法都加上了登录校验。
(3)直接加在视图类上,但method_decorator必须传 name 关键字参数
如果get方法和post方法都需要登录校验的话就写两个装饰器
from django.utils.decorators import method_decorator @method_decorator(check_login, name="get") @method_decorator(check_login, name="post") class HomeView(View): def dispatch(self, request, *args, **kwargs): return super(HomeView, self).dispatch(request, *args, **kwargs) def get(self, request): return render(request, "home.html") def post(self, request): print("Home View POST method...") return redirect("/index/")
补充:
CSRF Token相关装饰器在CBV只能加到dispatch方法上
备注:
- csrf_protect,为当前函数强制设置防跨站请求伪造功能,即便settings中没有设置全局中间件。
- csrf_exempt,取消当前函数防跨站请求伪造功能,即便settings中设置了全局中间件。
from django.views.decorators.csrf import csrf_exempt, csrf_protect class HomeView(View): @method_decorator(csrf_exempt) def dispatch(self, request, *args, **kwargs): return super(HomeView, self).dispatch(request, *args, **kwargs) def get(self, request): return render(request, "home.html") def post(self, request): print("Home View POST method...") return redirect("/index/")