session和cookie组件
cookie介绍
cookie的由来
大家都知道HTTP协议是无状态的。
无状态的意思是每次请求都是独立的,它的执行情况和结果与前面的请求和之后的请求都无直接关系,它不会受前面的请求响应情况直接影响,也不会直接影响后面的请求响应情况。
对服务器来说,每次的请求都是全新的。
状态可以理解为客户端和服务器在某次会话中产生的数据,那无状态的就以为这些数据不会被保留。会话中产生的数据又是我们需要保存的,也就是说要“保持状态”。因此Cookie就是在这样一个场景下诞生。
什么是cookie
其实Cookie是key-value结构,类似于一个python中的字典。随着服务器端的响应发送给客户端浏览器。然后客户端浏览器会把Cookie保存起来,当下一次再访问服务器时把Cookie再发送给服务器。 Cookie是由服务器创建,然后通过响应发送给客户端的一个键值对。客户端会保存Cookie,并会标注出Cookie的来源(哪个服务器的Cookie)。当客户端向服务器发出请求时会把所有这个服务器Cookie包含在请求中发送给服务器,这样服务器就可以识别客户端了!
cookie的原理
cookie的工作原理是:由服务器产生内容,浏览器收到请求后保存在本地;当浏览器再次访问时,浏览器会自动带上Cookie,这样服务器就能通过Cookie的内容来判断这个是“谁”了。
Cookie规范
- Cookie大小上限为4KB;
- 一个服务器最多在客户端浏览器上保存20个Cookie;
- 一个浏览器最多保存300个Cookie;
上面的数据只是HTTP的Cookie规范,但在浏览器大战的今天,一些浏览器为了打败对手,为了展现自己的能力起见,可能对Cookie规范“扩展”了一些,例如每个Cookie的大小为8KB,最多可保存500个Cookie等!但也不会出现把你硬盘占满的可能!
注意,不同浏览器之间是不共享Cookie的。也就是说在你使用IE访问服务器时,服务器会把Cookie发给IE,然后由IE保存起来,当你在使用FireFox访问服务器时,不可能把IE保存的Cookie发送给服务器。
Cookie的覆盖
如果服务器端发送重复的Cookie那么会覆盖原有的Cookie,例如客户端的第一个请求服务器端发送的Cookie是:Set-Cookie: a=A;第二请求服务器端发送的是:Set-Cookie: a=AA,那么客户端只留下一个Cookie,即:a=AA。
在浏览器中查看cookie
浏览器中按F12,点network---cookies就能看到
第一次访问的时候,先判断拿到username和password跟数据库进行匹配,如果没有任何问题会发给你一个cookie的键值对,这个cookie就包含你所有的个人信息。当你的浏览器再次发送相同的关于这个网站的请求的时候,它首先按照你的键去进行匹配,如果有的话再把你的想要的内容展示出来。
Django中操作Cookie
django默认提供cookies
我们看看cookies里面的值,键值对和随机字符串。
cookies: {'csrftoken': 'ChN5BhHlw5fjVJf3b8qOuGPjB4BWKC8nA6QvFyoRuzgbgMAtdDNrsGfuePPL63jN', 'sessionid': 'zxfqui44038nejym49kod6bxjos14kd4'}
我们可以在登录成功之后自己设置cookies里面的键值对。
redirect其实是有返回值的!
#跳转到首页页面
return redirect('/index/')
我们可以写成:
res = redirect('/index/') return res
对跳转对象设置cookie。当下次请求时就会带着设置的键值对来。
res.set_cookie('键','值')
def login(request): print('cookies: ',request.COOKIES) # print(request.COOKIES) if request.method == 'POST': username = request.POST.get('u_name') userpwd = request.POST.get('u_pwd') #去数据库进行取值匹配 if username=='zrg' and userpwd == '1234': #跳转到首页页面 res = redirect('/index/') res.set_cookie('键','值') return res # return redirect('/index/') return render(request,'login.html')
再次请求时我们取cookie里面的键值对进行比对,如果正确返回主页,如果不正确重新跳转别的页面。
def index(request): if request.COOKIES.get('键',None) == '值': name = 'zrg' return render(request,'index.html',locals()) else: return redirect('/login/')
from django.shortcuts import render,HttpResponse,redirect # Create your views here. def login(request): print('cookies: ',request.COOKIES) if request.method == 'POST': username = request.POST.get('u_name') userpwd = request.POST.get('u_pwd') #去数据库用户信息表进行取值匹配 if username=='yj' and userpwd == '1234': #登录成功之后跳转到的页面 res = redirect('/index/') #设置cookie的键值对 res.set_cookie('username',username) return res return render(request,'login.html') def index(request): # 进行判断该用户用没有登录成功过 #先从cookies看能不能取到设置的键名,如果取不到就返回None。 if request.COOKIES.get('username',None): #这里面是写具体的index函数逻辑代码 name = request.COOKIES.get('username',None) return render(request,'index.html',locals()) else: return redirect('/login/')
不足之处:
客户端本地文件有可能被窃取。
获取Cookie
request.COOKIES['key'] request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None)
参数:
- default: 默认值
- salt: 加密盐
- max_age: 后台控制过期时间
设置Cookie
rep = HttpResponse(...) rep = render(request, ...) rep.set_cookie(key,value) rep.set_signed_cookie(key,value,salt='加密盐')
参数:
- key, 键
- value='', 值
- max_age=None, 超时时间 cookie需要延续的时间(以秒为单位)如果参数是\ None`` ,这个cookie会延续到浏览器关闭为止
- expires=None, 超时时间(IE requires expires, so set it if hasn't been already.)
- path='/', Cookie生效的路径,/ 表示根路径,特殊的:根路径的cookie可以被任何url的页面访问,浏览器只会把cookie回传给带有该路径的页面,这样可以避免将cookie传给站点中的其他的应用。
- domain=None, Cookie生效的域名 你可用这个参数来构造一个跨站cookie。如, domain=".example.com"所构造的cookie对下面这些站点都是可读的:www.example.com 、 www2.example.com 和an.other.sub.domain.example.com 。如果该参数设置为 None ,cookie只能由设置它的站点读取
- secure=False, 浏览器将通过HTTPS来回传cookie
- httponly=False 只能http协议传输,无法被JavaScript获取(不是绝对,底层抓包可以获取到也可以被覆盖)
Session
Session的由来
Cookie虽然在一定程度上解决了“保持状态”的需求,但是由于Cookie本身最大支持4096字节,以及Cookie本身保存在客户端,可能被拦截或窃取,因此就需要有一种新的东西,它能支持更多的字节,并且他保存在服务器,有较高的安全性。这就是Session。
问题来了,基于HTTP协议的无状态特征,服务器根本就不知道访问者是“谁”。那么上述的Cookie就起到桥接的作用。
我们可以给每个客户端的Cookie分配一个唯一的id,这样用户在访问时,通过Cookie,服务器就知道来的人是“谁”。然后我们再根据不同的Cookie的id,在服务器上保存一段时间的私密资料,如“账号密码”等等。
总结而言:Cookie弥补了HTTP无状态的不足,让服务器知道来的人是“谁”;但是Cookie以文本的形式保存在本地,自身安全性较差;所以我们就通过Cookie识别不同的用户,对应的在Session里保存私密的信息以及超过4096字节的文本。
另外,上述所说的Cookie和Session其实是共通性的东西,不限于语言和框架。
cookie和session配合:
登录成功之后都所有的想保留的信息存成键值对,然后把这个键值对存到session里面去,session本身就是一个大的字典存所有的个人信息的,它有一个键去对应我们刚才保存的键值对。然后把session的这个键发给cookie。
Django中Session相关方法
我们看cookies
cookies: {'csrftoken': 'ChN5BhHlw5fjVJf3b8qOuGPjB4BWKC8nA6QvFyoRuzgbgMAtdDNrsGfuePPL63jN', 'sessionid': 'zxfqui44038nejym49kod6bxjos14kd4'}
我们看session
session: <django.contrib.sessions.backends.db.SessionStore object at 0x109bd24e0>
sessionid就是每一次访问django分配给你的key。
注意:设置session的时候都会把设置的值默认的存到数据库里的表里。
数据库里无论是键还是数据存的都是加密的内容。
from django.shortcuts import render,HttpResponse,redirect # Create your views here. def login(request): print('cookies: ',request.COOKIES) print('session: ',request.session) if request.method == 'POST': username = request.POST.get('u_name') userpwd = request.POST.get('u_pwd') #去数据库用户信息表进行取值匹配 if username=='yangjing' and userpwd == '1234': #给键赋值指定键值对 request.session['iflogin']=True request.session['user']=username return redirect('/index/') return render(request,'login.html') def index(request): # 进行判断该用户用没有登录成功过 #先从cookies看能不能取到设置的键名,如果取不到就返回None。 if request.session.get('iflogin',None): name = request.session.get('user',None) return render(request,'index.html',locals()) else: return redirect('/login/')
111