django -- cookie和session
前戏
我们在访问一些网站的时候，如果没有登录就会跳转到登录页面，如果是登录了，才会让我们访问，那服务器是怎么知道我们有没有登录呢？这就涉及到了Cookie，大家都知道HTTP的特点，无状态。也就是浏览器发送到服务器的每个请求都是没有关系的。这时候就要给服务器设置一个Cookie，下次浏览器请求的时候，携带这个Cookie，如果有携带，那服务器就认为是登录的，如果没有携带或错误，那浏览器就跳转到登录页面。
什么是Cookie呢？
Cookie是指一小段信息，它是服务器发送出来存储在浏览器上的一组组键值对，下次访问服务器时浏览器会自动携带这些键值对。Cookie的工作原理是由服务器产生内容，浏览器收到请求后保存在本地，当浏览器再次访问时，浏览器会自动带上Cookie，这样服务器就能通过Cookie判断当前用户是哪个了
Cookie初识
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <form action="{{ request.get_full_path }}" method="post"> {% csrf_token %} 用户名: <input type="text" name="username"> 密码： <input type="text" name="pwd"> <input type="submit" value="提交"> </form> </body> </html>
我们写三个视图函数，login，home和index
from django.shortcuts import render,redirect,HttpResponse from appTest01 import models # Create your views here. def login(request): if request.method == 'POST': user = request.POST.get('username') password = request.POST.get('pwd') if models.Person.objects.filter(name=user, pwd= password): return redirect('/index/') return render(request,'login.html') def index(request): return HttpResponse('index') def home(request): return HttpResponse('home')
上面这样的写法，我们可以直接通过路径访问对应的页面，不需要登录，当然不符合我们的需求，那我们给加上Cookie
from django.shortcuts import render,redirect,HttpResponse from appTest01 import models # Create your views here. def login(request): if request.method == 'POST': user = request.POST.get('username') password = request.POST.get('pwd') if models.Person.objects.filter(name=user, pwd= password): ret = redirect('/index/') ret.set_cookie('is_login','yes') return ret return render(request,'login.html') def index(request): print(request.COOKIES,type(request.COOKIES)) 查看cookie return HttpResponse('index') def home(request): return HttpResponse('home')
我们使用set_cookie()来设置Cookie，然后我们输入账号密码去登录，查看cookie
我们可以使用 request.COOKIES来查看cookie，
request.COOKIES,type(request.COOKIES)
结果：
{'csrftoken': 'pB5vZxQOwWnvNyw13S0ImpbInxOpnIV0BsAcE31hCHLOP3EIMM8veLpxIlcRBYIg', 'is_login': 'yes'} <class 'dict'>
既然它是一个字典类型的，我们就可以拿到cookie，然后在进行一个判断，在来改写视图函数
from django.shortcuts import render,redirect,HttpResponse from appTest01 import models # Create your views here. def login(request): if request.method == 'POST': user = request.POST.get('username') password = request.POST.get('pwd') if models.Person.objects.filter(name=user, pwd = password): ret = redirect('/index/') ret.set_cookie('is_login','yes') return ret return render(request,'login.html') def index(request): if request.COOKIES.get('is_login') == 'yes': # 获取我们设置的Cookie return HttpResponse('index') return redirect('/login/') def home(request): if request.COOKIES.get('is_login') == 'yes': return HttpResponse('home') return redirect('/login/')
上面代码我们就实现了我们的需求，如果登录成功，可以访问index和home页面，如果没有登录，则返回login页面，那试想一下，以后我们的项目页面有几百个，难道要给每个页面都要写判断吗？这样肯定是不行的，我们可以用装饰器来实现这种需求，代码如下
from django.shortcuts import render, redirect, HttpResponse from appTest01 import models # Create your views here. def login_cookie(f): def inner(request, *args, **kwargs): if request.COOKIES.get('is_login') == 'yes': # 获取我们设置的Cookie,如果通过，执行被装饰的函数 res = f(request, *args, **kwargs) return res return redirect('/login/') return inner def login(request): if request.method == 'POST': user = request.POST.get('username') password = request.POST.get('pwd') if models.Person.objects.filter(name=user, pwd=password): ret = redirect('/index/') ret.set_cookie('is_login', 'yes') return ret return render(request, 'login.html') @login_cookie def index(request): return HttpResponse('index') @login_cookie def home(request): return HttpResponse('home')
但是这样又有个问题，如果我们没有登录访问home页面，它会跳转到登录页面，我们正确登录之后返回到了index页面，这肯定不是我们需要的效果，因为我们在login函数里已经写死了，登录成功之后返回的是index页面，我们来看下京东没登录时点击“我的京东”是怎样处理的
我们可以看到，京东在登录页面后面加了个参数，然后登录成功之后，直接跳转到后面的那个参数页面了，那我们在来修改我们的代码
from django.shortcuts import render, redirect, HttpResponse from appTest01 import models # Create your views here. def login_cookie(f): def inner(request, *args, **kwargs): current_url = request.path_info # 获取地址中?后面的参数 print('current_url为：', current_url) if request.COOKIES.get('is_login') == 'yes': res = f(request, *args, **kwargs) return res return redirect('/login/?returnurl={}'.format(current_url)) # 拼接url路径 return inner def login(request): if request.method == 'POST': user = request.POST.get('username') password = request.POST.get('pwd') if models.Person.objects.filter(name=user, pwd=password): url_parameter = request.GET.get('returnurl') # 获取当前路径里的returnurl参数 ret = redirect(url_parameter) # 返回到returnurl页面 ret.set_cookie('is_login', 'yes') return ret return render(request, 'login.html') @login_cookie def index(request): return HttpResponse('index') @login_cookie def home(request): return HttpResponse('home')
结果：
如果你在未登录状态下访问home页面，current_url就为/home/
如果你在未登录状态下访问index页面，current_url就为/index/
那么问题又来了，如果我们直接访问login页面，登录成功则会报错，这是因为当前的 url_parameter 参数为空，只需要修改login函数里的东西就可以了
def login(request): if request.method == 'POST': user = request.POST.get('username') password = request.POST.get('pwd') if models.Person.objects.filter(name=user, pwd=password): url_parameter = request.GET.get('returnurl') # 获取当前路径里的returnurl参数 if url_parameter: # 如果有值 ret = redirect(url_parameter) # 返回到returnurl页面 else: # 如果为空 ret = redirect('/home/') ret.set_cookie('is_login', 'yes') return ret return render(request, 'login.html')
设置和获取Cookie
在上面的例子中，我们是使用 set_cookie()来进行设置Cookie，还有另一种方式
rep = HttpResponse(...) rep ＝ render(request, ...) rep.set_cookie(key,value,...) rep.set_signed_cookie(key,value,salt='加密盐',...)
获取Cookie就不能使用request.COOKIES[’key‘]或者request.COOKIES.get('key')的方法获取了，要使用如下的方法获取
request.get_signed_cookie('key', default=RAISE_ERROR, salt='', max_age=None)
get_signed_cookie方法的参数：
- default: 默认值
- salt: 加密盐
- max_age: 后台控制过期时间
删除Cookie
删除Cookie使用delete_cookie('key')
def loginout(request): res = redirect('/login/') res.delete_cookie('is_login') # 删除我们设置的is_login的cookie return res
Cookie的其他参数
- key,键
- value='' 值
- max_age=xx 超时时间，xx为一个int型的，单位为秒，如xx=60，则cookie的有效期为60秒
- path='/', Cookie生效的路径，/ 表示根路径，特殊的：根路径的cookie可以被任何url的页面访问
- domain=None, Cookie生效的域名
- secure=False, https传输
- httponly=False 只能http协议传输，无法被JavaScript获取（不是绝对，底层抓包可以获取到也可以被覆盖）
Session
Cookie虽然在一定程度上解决了“保持状态”的需求，但是由于Cookie本身最大支持4096字节，以及Cookie本身保存在客户端，可能被拦截或窃取，因此就需要有一种新的东西，它能支持更多的字节，并且他保存在服务器，有较高的安全性。这就是Session。
问题来了，基于HTTP协议的无状态特征，服务器根本就不知道访问者是“谁”。那么上述的Cookie就起到桥接的作用。
我们可以给每个客户端的Cookie分配一个唯一的id，这样用户在访问时，通过Cookie，服务器就知道来的人是“谁”。然后我们再根据不同的Cookie的id，在服务器上保存一段时间的私密资料，如“账号密码”等等。
设置session
我们只需要把上面设置cookie和设置session的代码改下11，30，48行就可以了
1 from django.shortcuts import render, redirect, HttpResponse 2 from appTest01 import models 3 4 5 # Create your views here. 6 7 def login_cookie(f): 8 def inner(request, *args, **kwargs): 9 current_url = request.path_info # 获取地址中?后面的参数 10 print('current_url为：', current_url) 11 # if request.COOKIES.get('is_login') == 'yes': 12 if request.session.get('is_login') == 'yes': # 获取session 13 res = f(request, *args, **kwargs) 14 return res 15 return redirect('/login/?returnurl={}'.format(current_url)) # 拼接url路径 16 17 return inner 18 19 20 def login(request): 21 if request.method == 'POST': 22 user = request.POST.get('username') 23 password = request.POST.get('pwd') 24 if models.Person.objects.filter(name=user, age=password): 25 url_parameter = request.GET.get('returnurl') # 获取当前路径里的returnurl参数 26 if url_parameter: # 如果有值 27 ret = redirect(url_parameter) # 返回到returnurl页面 28 else: # 如果为空 29 ret = redirect('/home/') 30 # ret.set_cookie('is_login', 'yes',max_age=5) 31 request.session['is_login']='yes' # 设置session 32 return ret 33 return render(request, 'login.html') 34 35 36 @login_cookie 37 def index(request): 38 return render(request, 'index.html') 39 40 41 @login_cookie 42 def home(request): 43 return HttpResponse('home') 44 45 46 def loginout(request): 47 res = redirect('/login/') 48 # res.delete_cookie('is_login') # 删除我们设置的is_login的cookie 49 request.session.delete() # 删除session 50 return res
session会默认存在django_session这张表里
你去浏览器查看cookie会发现，这时浏览器保存的key不在是is_login了，而是sessionid，value也不在是yes了，而是数据库里存的session_key，当浏览器在次发请求时，Django会去django_session表里查询有没有对应的这个value，如果有，则认为登录过
session的其他方法
# 获取、设置、删除Session中数据 request.session['k1'] # 获取key，找不到会报错 request.session.get('k1',None) # 获取key，找不到为None request.session['k1'] = 123 # 设置session request.session.setdefault('k1',123) # 设置，如果存在k1则不设置 del request.session['k1'] # 删除k1的session # 所有 键、值、键值对 request.session.keys() # 获取所有的key request.session.values() # 获取所有的value request.session.items() # 获取所有的key和value request.session.iterkeys() # 生成器类型的key request.session.itervalues() # 生成器类型的value request.session.iteritems() # 会话session的key request.session.session_key # 获取数据库里存的那个session_key的值 # 将所有Session失效日期小于当前日期的数据删除 request.session.clear_expired() # 检查会话session的key在数据库中是否存在 request.session.exists("session_key") # 布尔值，存在返回True # 删除当前会话的所有Session数据 request.session.delete() # 浏览器里的sessionid还存在，只是删除了数据库里的数据 # 删除当前的会话数据并删除会话的Cookie。 request.session.flush() 这用于确保前面的会话数据不可以再次被用户的浏览器访问 例如，django.contrib.auth.logout() 函数中就会调用它。 # 设置会话Session和Cookie的超时时间 request.session.set_expiry(value) * 如果value是个整数，session会在些秒数后失效。 * 如果value是个datatime或timedelta，session就会在这个时间后失效。 * 如果value是0,用户关闭浏览器session就会失效。 * 如果value是None,session会依赖全局session失效策略。
session配置
from django.conf import global_settings 1. 数据库Session SESSION_ENGINE = 'django.contrib.sessions.backends.db' # 引擎（默认数据库） 2. 缓存Session SESSION_ENGINE = 'django.contrib.sessions.backends.cache' # 引擎 SESSION_CACHE_ALIAS = 'default' # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置 3. 文件Session SESSION_ENGINE = 'django.contrib.sessions.backends.file' # 引擎 SESSION_FILE_PATH = None # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir() 4. 缓存+数据库 SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db' # 引擎 5. 加密Cookie Session SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies' # 引擎 其他公用设置项： SESSION_COOKIE_NAME ＝ "sessionid" # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认） SESSION_COOKIE_PATH ＝ "/" # Session的cookie保存的路径（默认） SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名（默认） SESSION_COOKIE_SECURE = False # 是否Https传输cookie（默认） SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输（默认） SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期（2周）（默认） SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期（默认） SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session，默认修改之后才保存（默认）
总结：
1. cookie
1. cookie是什么？
保存在浏览器上一组组键值对
2. 为什么要有cookie？
http协议是无状态，每次请求都是无关联的，没有办法保存状态。
使用cookie保存状态。
3. django的操作cookie
3.1. 设置cookie
ret = HttpResponse('xxx')
ret.set_cookie(key,value,max_age=5)
ret.set_signed_cookie(key,value,max_age=5,salt='xxx')
3.2. 获取cookie
request.COOKIES['is_login']
request.COOKIES.get('is_login')
request.get_signed_cookie(key,salt='xxx',default='')
3.3. 删除cookie
ret.delete_cookie(key)
2. session
1. session是什么？
保存在服务器上一组组键值对，依赖cookie
2. 为什么要用session？
2.1. cookie保存在浏览器上 不安全
2.2. cookie的长度受到限制
3. django中操作session
3.1. 设置session
request.session[key] = value
request.session.setdefault(key,value)
3.2. 获取session
request.session[key]
request.session.get(key)
3.3. 删除session
del request.session[key] ——》删除某一个键值对
request.session.delete() ——》 删除该用户的所有的session数据，不删除cookie
request.session.flush() ——》 删除该用户的所有的session数据，删除cookie
4. 设置超时时间
request.session.set_expiry()
5. 清除所有过期的session
request.session.clear_expired()
