Django Cookie与session的运用
cookie和session
1、cookie不属于http协议范围,由于http协议无法保持状态,但实际情况,我们却又需要“保持状态”,因此cookie就是在这样一个场景下诞生。
cookie的工作原理是:由服务器产生内容,浏览器收到请求后保存在本地;当浏览器再次访问时,浏览器会自动带上cookie,这样服务器就能通过cookie的内容来判断这个是“谁”了。
2、cookie虽然在一定程度上解决了“保持状态”的需求,但是由于cookie本身最大支持4096字节,以及cookie本身保存在客户端,可能被拦截或窃取,因此就需要有一种新的东西,它能支持更多的字节,并且他保存在服务器,有较高的安全性。这就是session。
基于http协议的无状态特征,服务器根本就不知道访问者是“谁”。那么上述的cookie就起到桥接的作用。
我们可以给每个客户端的cookie分配一个唯一的id,这样用户在访问时,通过cookie,服务器就知道来的人是“谁”。然后我们再根据不同的cookie的id,在服务器上保存一段时间的私密资料,如“账号密码”等等。
3、总结而言:cookie弥补了http无状态的不足,让服务器知道来的人是“谁”;但是cookie以文本的形式保存在本地,自身安全性较差;所以我们就通过cookie识别不同的用户,对应的在session里保存私密的信息以及超过4096字节的文本。
先说一下这种认证的机制。每当我们使用一款浏览器访问一个登陆页面的时候,一旦我们通过了认证。服务器端就会发送一组随机唯一的字符串(假设是123abc)到浏览器端,这个被存储在浏览器端的东西就叫cookie。而服务器端也会自己存储一下用户当前的状态,比如login=true,username=hahaha之类的用户信息。但是这种存储是以字典形式存储的,字典的唯一key就是刚才发给用户的唯一的cookie值(存在cookie中,cookie也是字典形式存储的,cookie的值是一个字典,存放了一些信息,其中就包括了sessionid(键),sessionid的值则为服务端的session的唯一键)。那么如果在服务器端查看session信息的话,理论上就会看到如下样子的字典
{'123abc':{'login':true,'username:hahaha'}}
因为每个cookie都是唯一的,所以我们在电脑上换个浏览器再登陆同一个网站也需要再次验证。因为处于安全性的考虑,其实对于上面那个大字典不光key值123abc是被加密的,value值{'login':true,'username:hahaha'}在服务器端也是一样被加密的。
例子:
-------------------urls.py------------- urlpatterns = [ path('admin/', admin.site.urls), path('login/', views.login), path('index/', views.index), ] -------------------setting.py---------- MIDDLEWARE = [ 'django.middleware.security.SecurityMiddleware', 'django.contrib.sessions.middleware.SessionMiddleware', 'django.middleware.common.CommonMiddleware', # 'django.middleware.csrf.CsrfViewMiddleware', 'django.contrib.auth.middleware.AuthenticationMiddleware', 'django.contrib.messages.middleware.MessageMiddleware', 'django.middleware.clickjacking.XFrameOptionsMiddleware', ] #在django处理请求的过程中,需要经过中间件的过滤,涉及到跨站请求伪造时,django会把请求阻止过滤掉,所以我们要在setting.py中禁用跨站请求伪造的中间件 --------------------index.html------------ <body> <h1>{{ name }}</h1> </body> ---------------------login.html------------ <body> <form action="/login/" method="post"> <p>姓名:<input type="text" name="user"></p> <p>密码:<input type="password" name="pwd"></p> <p><input type="submit"></p> </form> ---------------------views.py-------------- from django.shortcuts import render,redirect import datetime def login(request): # print('cookies:',request.COOKIES) # print('session:',request.session) if request.method=="POST": name=request.POST.get("user") # 获取客户端发来的数据 pwd=request.POST.get("pwd") if name=='zq' and pwd=='123456': # 判断是否是相应用户的登录(实际不能这样写,现在只是例子) request.session['is_login']=True request.session['user']=name return redirect("/index/") # session数据会默认存在本地数据库中,所以要先migrate创建表 return render(request,"login.html") def index(request): if request.session.get("is_login",None): name=request.session.get('user') return render(request,"index.html",locals()) else: return redirect('/login/')
一、操作Cookie
获取cookie:request.COOKIES[key]
设置cookie:response.set_cookie(key,value) max_age参数可设置cookie过期时间,如果max_age=10,10秒后就失效
参数 expires=datetime.datetime.utcnow()+datetime.timedelta(days=3) 也可设置过期时间,以今天的时间为基准3天后到期
二、操作Session(session默认在服务器端保存15天)
获取session:request.session[key]
设置session:reqeust.session[key] = value
删除session:del request.session[key] (其实就是把数据库的session_data更新为一个其他的值了,并没有立即删除)
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
request.session.set_expiry(value) * 如果value是个整数,session会在些秒数后失效。 * 如果value是个datatime或timedelta,session就会在这个时间后失效。 * 如果value是0,用户关闭浏览器session就会失效。 * 如果value是None,session会依赖全局session失效策略。