11、Django的cookie和session

1、Django的cookie和sessionhtml

1、會話web

會話能夠理解爲客戶端與服務器之間的一次會晤，在一次會晤中可能會包含屢次請求和響應。客戶向某一服務器發出第一個請求開始，會話就開始了，直到客戶關閉了瀏覽器會話結束。 

在一個會話的多個請求中，須要共享數據，就是會話跟蹤技術。好比你在登錄銀行主頁，請求登陸、請求取款、請求轉帳、請求還款...，在這個會話中，當前的用戶信息必須在這個會話中是共享的，由於登陸的是你，那麼取款轉帳時必定是相對你的取款轉帳 。這就說明咱們必須在一個會話過程當中有共享數據的能力。 

在web中這種能力的實現就要依靠cookie和session

2、cookie數據庫

Cookie的由來django

HTTP協議是無狀態的。就是每次請求都是獨立的，它的執行狀況和結果與前面的請求和以後的請求都無直接關係，它不會受前面的請求響應狀況直接影響，也不會直接影響後面的請求響應狀況。瀏覽器

客戶端和服務器在某次會話中產生的數據，那無狀態的就覺得這些數據不會被保留。會話中產生的數據又是咱們須要保存的，也就是說要「保持狀態」，所以就須要用到cookie緩存

用django，雖然寫了許多的頁面，可是用戶能夠不用登陸也能看全部的網頁，只須要知道網址就行，但爲了安全機制，須要作個驗證，不管訪問哪一個網址須要驗證用戶的身份；當用戶登陸後，要須要驗證是不是登陸的狀態，不須要再重複登陸，可是http是無狀態的，此時就須要用到cookie了。安全
什麼是Cookie服務器

cookie是瀏覽器的技術，Cookie具體指的是一段小信息，它是服務器發送出來存儲在瀏覽器上的一組組鍵值對，能夠理解爲服務端給客戶端的一個小甜點，下次訪問服務器時瀏覽器會自動攜帶這些鍵值對，以便服務器提取有用信息。cookie
Cookie的原理session

工做原理：瀏覽器訪問服務端，帶着一個空的cookie，而後由服務器產生內容，瀏覽器收到相應後保存在本地；當瀏覽器再次訪問時，瀏覽器會自動帶上Cookie，這樣服務器就能經過Cookie的內容來判斷這個是「誰」了。
網頁下查看cookie

cookie規範

Cookie大小上限爲4KB；
一個服務器最多在客戶端瀏覽器上保存20個Cookie；
一個瀏覽器最多保存300個Cookie，由於一個瀏覽器能夠訪問多個服務器。
```
隨着互聯網技術發展，可能對Cookie規範「擴展」了一些，例如每一個Cookie的大小爲8KB，最多可保存500個Cookie等。
```
注意：不一樣瀏覽器之間是不共享Cookie的。也就是說在你使用IE訪問服務器時，服務器會把Cookie發給IE，而後由IE保存起來，當你在使用Google Chrome訪問服務器時，不可能把IE保存的Cookie發送給服務器。

cookie的傳遞

Cookie是經過HTTP請求和響應頭在客戶端和服務器端傳遞的

Cookie：請求頭，客戶端發送給服務器端；
Cookie: a=A; b=B; c=C。即多個Cookie用分號離開；
Set-Cookie：響應頭，服務器端發送給客戶端；
一個Cookie對象一個Set-Cookie： Set-Cookie: a=A Set-Cookie: b=B Set-Cookie: c=C

一個用戶 —— 一個瀏覽器 —— 一個服務端

BS：統一接口，瀏覽器輸入一個網址，就能打開一個網站

Cookie的覆蓋

若是服務器端發送重複的Cookie那麼會覆蓋原有的Cookie，例如客戶端的第一個請求服務器端發送的Cookie是：Set-Cookie: a=A；第二請求服務器端發送的是：Set-Cookie: a=AA，那麼客戶端只留下一個Cookie，即：a=AA。

3、django中操做cookie

Ctrl + Shift + del三個鍵來清除頁面緩存和cookie

獲取cookie

request.COOKIE['key'] # 或者 request.COOKIE.get('key')

request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None) 參數： default: 默認值 salt: 加密鹽 max_age: 後臺控制過時時間
設置cookie

rep = HttpResponse(...) # 或 rep ＝ render(request, ...) rep.set_cookie(key,value,...) return rep

rep.set_signed_cookie(key,value,salt='加密鹽', max_age=None, ...) 參數： key, 鍵 value='', 值 max_age=None, 超時時間（給一個以秒爲單位的數據，通過這個時間後失效） expires=None, 超時時間(給一個時間日期格式的數據，到那個時候自動失效) path='/', Cookie生效的路徑，/ 表示根路徑，特殊的：根路徑的cookie能夠被任何url的頁面訪問 domain=None, Cookie生效的域名 secure=False, https傳輸 httponly=False 只能http協議傳輸，沒法被JavaScript獲取（不是絕對，底層抓包能夠獲取到也能夠被覆蓋）
刪除cookie

def logout(request): rep = redirect("/login/") rep.delete_cookie("user") # 刪除用戶瀏覽器上以前設置的usercookie值 return rep
cookie的驗證
好比，咱們想本身設置一個cookie，鍵是k1，值是v1： def index(request): ret = HttpResponse('ok') ret.set_cookie('k1','v1') return ret 結果在網頁端開發工具的cookie可見，設置成功了：
而後經過對比咱們本身設定的cookie值，若是有cookie的鍵k1對應的值是v1，就能訪問製做的home頁面 home.html： <body> 這是home頁面 </body>
```
def home(request):
    is_login = request.COOKIES.get('k1')
    if is_login == 'v1':
        return render(request,'home.html')
    else:
        return HttpResponse('gun')
```
出現問題：就是直接訪問127.0.0.1:8000/home，也會直接拿到home頁面，當咱們在網頁端查看cookie的時候，仍然有k1對應v1，這是由於緩存的機制，須要咱們Ctrl + Shift + del三個鍵來清除頁面緩存和cookie 此時直接訪問home頁面，由於cookie中沒有了鍵k1對應的值是v1，就拿不到home頁面解決：須要先訪問index路徑，通過index視圖函數，給cookie設置一個鍵值對k1：v1，而後再訪問home頁面，瀏覽器仍是帶着本地的cookie，此時就能夠拿到home的頁面了
登陸的驗證

需求：製做三個頁面，一個登陸，一個index頁面，一個home頁面，用戶想訪問index和home頁面都必須先通過login頁面

先配置路徑 from django.conf.urls import url from app01 import views

urlpatterns = [
    url(r'^index/', views.index,name='index'),
    url(r'^home/', views.home,name='home'),
    url(r'^login/', views.login,name='login'),
]

製做三個頁面 home.html: <body> 這是home頁面 <a href="/index/">去往index頁面</a> </body>

index.html:
    <body>
    來到了index的頁面
    <a href="/home/">返回home頁面</a>
    </body>

login.html:
    歡迎來到登錄的頁面
    <form action="/login/" method="post">
        {% csrf_token %}
        用戶名：<input type="text" name="uname">
        密碼：<input type="password" name="pwd">
        <input type="submit">
    </form>

寫視圖函數 from django.shortcuts import render,HttpResponse,redirect

def login(request):
    if request.method == 'GET':
        return render(request,'login.html')
    else:
        username = request.POST.get('uname')
        password = request.POST.get('pwd')
        if username == 'yangzm' and password == '123':
            ret =  redirect('home')
            ret.set_cookie('is_login',True)
            return ret
        else:
            return redirect('login')

def index(request):
    is_login = request.COOKIES.get('is_login')
    # print(is_login,type(is_login))     # True <class 'str'>
    if is_login == 'True':
        return render(request,'index.html')
    else:
        return redirect('login')

def home(request):
    is_login = request.COOKIES.get('is_login')
    if is_login == 'True':
        return render(request,'home.html')
    else:
        return redirect('login')

在login函數中，先返回一個登陸界面，而後獲得用戶提交的數據判斷，驗證成功了就設置cookie的值，不然在返回登陸頁面從新登陸在index、home函數中，判斷cookie設置的值，驗證成功就返回頁面，不然重定向回到登陸頁面

視圖函數改進版——加裝飾器 from django.shortcuts import render,HttpResponse,redirect

def logining(f):
    def inner(request,*args,**kwargs):
        is_login = request.COOKIES.get('is_login')
        if is_login == 'True':
            ret = f(request,*args,**kwargs)
            return ret
        else:
            return redirect('login')
    return inner

def login(request):
    if request.method == 'GET':
        return render(request,'login.html')
    else:
        username = request.POST.get('uname')
        password = request.POST.get('pwd')
        if username == 'yangzm' and password == '123':
            ret =  redirect('home')
            ret.set_cookie('is_login',True)
            # ret.set_cookie('is_login',True,10) 設置超時函數10s,超過10scookie就失效了
            return ret
        else:
            return redirect('login')
@logining
def index(request):
    return render(request,'index.html')

@logining
def home(request):
    return render(request,'home.html')

4、session

session是服務端技術，服務器在運行時能夠爲每個用戶的瀏覽器建立一個其獨享的session對象，因爲 session爲用戶瀏覽器獨享，因此用戶在訪問服務器的web資源時 ，能夠把各自的數據放在各自的session中，當用戶再去訪問該服務器中的其它web資源時，其它web資源再從用戶各自的session中 取出數據爲用戶服務。

Cookie雖然在必定程度上解決了 「保持狀態」 的需求，可是cookie最大支持4096字節，並且cookie保存在客戶端，可能別攔截或者盜取

好比我設置了三組的cookie值，都會在網頁看獲得：

session就解決了以上問題，即支持更多的字節，而且保存在服務端，有較高的安全性

給每一個客戶端的cookie分配一個惟一的id，這樣用戶在訪問時，經過cookie，服務器就知道來的人是「誰」。而後咱們再根據不一樣的Cookie的id，在服務器上保存一段時間的私密資料，如「帳號密碼」等等

5、django中操做session

一個用戶拿到session_id,只要沒清除cookie，就還會有session_id，就不會生成一條新紀錄了；

清除了cookie，session_id也沒有了，此時再來訪問就會新生成一條新的數據

一個用戶 -- 一個瀏覽器 -- 對應一個session記錄

設置值

request.session['k1'] = 123 request.session.setdefault('k1',123) # 存在則不設置

自動生成隨機字符串，將這個隨機字符串和用戶數據（加密後）和過時時間保存到了django-session表裏面，幫你將這個隨機字符串以sessionid：隨機字符串的形式添加到cookie裏面返回給瀏覽器（sessionid名字是能夠改的）

可是注意一個事情，django-session這個表，你不能經過orm來直接控制，由於你的models.py裏面沒有這個對應關係

取值

request.session['k1'] request.session.get('k1',None)

request.session這句是幫你從cookie裏面將sessionid的值取出來，將django-session表裏面的對應sessionid的值的那條記錄中的session-data字段的數據給你拿出來（並解密）,get方法就取出k1這個鍵對應的值
刪除值

del request.session['k1'] # django-session表裏面同步刪除
登陸驗證

def home(request): # is_login = request.session['is_login'] # 這麼取值，找不到is_login這個鍵就會報錯 is_login = request.session.get('is_login')# 這樣取值不會報錯 # print(is_login,type(is_login)) # True <class 'bool'> ''' 1.從cookie裏面拿出了session_id:xxx這個隨機字符串 2.去django-session表裏面查詢對應的數據 3.反解加密的用戶數據，並獲取用戶須要的數據 ''' if is_login == True:
```
return render(request,'home.html')
else:
    return redirect('login')
```
def login(request): if request.method == 'GET': return render(request,'login.html') else: username = request.POST.get('uname') password = request.POST.get('pwd') if username == 'yangzm' and password == '123': request.session['is_login'] = True request.session['username'] = 'yang' # 1.生成了session_id：隨機字符串dsdggdf # 2.在cookie裏面加上了一個鍵值對session_id：dsdggdf # 3.將用戶的數據進行了加密，並保存到django-session表裏面 ''' session_key session_data dsdggdf 用戶數據加密後的字符串 ''' return redirect('home') else: return redirect('login')

加入退出功能：

url(r'^logout/', views.logout,name='logout'),

home.html:
    <div>
        <a href="/logout/">退出</a>
    </div>

def logout(request):
    request.session.flush()
    return redirect('login')

其餘方法

全部鍵、值、鍵值對

request.session.keys() request.session.values() request.session.items()

會話session的key

session_key = request.session.session_key 獲取sessionid的值

將全部Session失效日期小於當前日期的數據刪除，將過時的刪除

request.session.clear_expired()

檢查會話session的key在數據庫中是否存在

request.session.exists("session_key") #session_key就是那個sessionid的值

刪除當前會話的全部Session數據

request.session.delete() 　　

刪除當前的會話數據並刪除會話的Cookie。

request.session.flush() #經常使用，清空全部cookie---刪除session表裏的這個會話的記錄，這用於確保前面的會話數據不能夠再次被用戶的瀏覽器訪問例如，django.contrib.auth.logout() 函數中就會調用它。

設置會話Session和Cookie的超時時間

request.session.set_expiry(value) * 若是value是個整數，session會在些秒數後失效。 * 若是value是個datatime或timedelta，session就會在這個時間後失效。 * 若是value是0,用戶關閉瀏覽器session就會失效。 * 若是value是None,session會依賴全局session失效策略。
改session_id

在settings裏面設置： SESSION_COOKIE_NAME = 'niubi'

而後在網頁查看cookie：

Django中的Session配置
1. 數據庫Session SESSION_ENGINE = 'django.contrib.sessions.backends.db' # 引擎（默認）
2. 緩存Session SESSION_ENGINE = 'django.contrib.sessions.backends.cache' # 引擎 SESSION_CACHE_ALIAS = 'default' # 使用的緩存別名（默認內存緩存，也能夠是memcache），此處別名依賴緩存的設置
3. 文件Session SESSION_ENGINE = 'django.contrib.sessions.backends.file' # 引擎 SESSION_FILE_PATH = None # 緩存文件路徑，若是爲None，則使用tempfile模塊獲取一個臨時地址tempfile.gettempdir()
4. 緩存+數據庫 SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db' # 引擎
5. 加密Cookie Session SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies' # 引擎
其餘公用設置項： SESSION_COOKIE_NAME ＝ "sessionid" # Session的cookie保存在瀏覽器上時的key，即：sessionid＝隨機字符串（默認） SESSION_COOKIE_PATH ＝ "/" # Session的cookie保存的路徑（默認） SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名（默認） SESSION_COOKIE_SECURE = False # 是否Https傳輸cookie（默認） SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http傳輸（默認） SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期（2周）（默認） SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否關閉瀏覽器使得Session過時（默認） SESSION_SAVE_EVERY_REQUEST = False # 是否每次請求都保存Session，默認修改以後才保存（默認）

11、Django的cookie和session

自動生成隨機字符串，將這個隨機字符串和用戶數據（加密後）和過時時間保存到了django-session表裏面，幫你將這個隨機字符串以sessionid：隨機字符串的形式添加到cookie裏面返回給瀏覽器（sessionid名字是能夠改的）

可是注意一個事情，django-session這個表，你不能經過orm來直接控制，由於你的models.py裏面沒有這個對應關係

request.session這句是幫你從cookie裏面將sessionid的值取出來，將django-session表裏面的對應sessionid的值的那條記錄中的session-data字段的數據給你拿出來（並解密）,get方法就取出k1這個鍵對應的值

全部 鍵、值、鍵值對

會話session的key

將全部Session失效日期小於當前日期的數據刪除，將過時的刪除

檢查會話session的key在數據庫中是否存在

刪除當前會話的全部Session數據

刪除當前的會話數據並刪除會話的Cookie。

設置會話Session和Cookie的超時時間

全部鍵、值、鍵值對