http 之cookie和session

時間  2019-12-05
標籤 http cookie session 欄目 HTTP/TCP 简体版
原文   原文鏈接

 cookie和sessionhtml

關於http：python

一、http是：無狀態、短鏈接mysql

二、http的請求生命週期：給服務端發送一個請起頭，經過域名提取url，經過路由關係匹配，再經過函數+html進行模板加數據渲染，最後返回給用戶（響應頭+響應體）sql

三、http發送規定：數據庫

（1）請求：
    get請求：沒有請求體、數據不能超過1k
    post：有請求體，數據大小沒有要求
（2）響應：
    用戶在頁面看到的內容「字符串」django

 

cookie：json

一、cookie的誕生：瀏覽器

cookie不屬於http協議範圍，因爲http協議沒法保持狀態，但實際狀況，咱們卻又須要「保持狀態」，所以cookie就是在這樣一個場景下誕生。緩存

二、cookie的工做原理是：安全

由服務器產生內容，瀏覽器收到請求後保存在本地；當瀏覽器再次訪問時，瀏覽器會自動帶上cookie，這樣服務器就能經過cookie的內容來判斷這個是「誰」了。

三、cookie：

（1）、是保存在用戶瀏覽器中的鍵值對（能夠放不少）
（2）、服務端能夠向用戶瀏覽器寫cookie
（3）、客戶端每次請求時，會攜帶cookie

cookie雖然在必定程度上解決了「保持狀態」的需求，可是因爲cookie自己最大支持4096字節，以及cookie自己保存在客戶端，可能被攔截或竊取，所以就須要有一種新的東西，它能支持更多的字節，而且他保存在服務器，有較高的安全性。這就是session。

問題來了，基於http協議的無狀態特徵，服務器根本就不知道訪問者是「誰」。那麼上述的cookie就起到橋接的做用。

咱們能夠給每一個客戶端的cookie分配一個惟一的id，這樣用戶在訪問時，經過cookie，服務器就知道來的人是「誰」。而後咱們再根據不一樣的cookie的id，在服務器上保存一段時間的私密資料，如「帳號密碼」等等。

四、cookie的應用：

（1）、投票
（2）、用戶登陸
補充：

（1）cookie能夠設置超時時間

（2）總結而言：cookie彌補了http無狀態的不足，讓服務器知道來的人是「誰」；可是cookie以文本的形式保存在本地，自身安全性較差；因此咱們就經過cookie識別不一樣的用戶，對應的在session裏保存私密的信息以及超過4096字節的文本。

（3）cookie和session實際上是共通性的東西，不限於語言和框架

 

以前咱們製做一個登錄頁面，在驗證了用戶名和密碼的正確性後跳轉到後臺的頁面。可是測試後也發現，若是繞過登錄頁面。直接輸入後臺的url地址也能夠直接訪問的。這個顯然是不合理的。其實咱們缺失的就是cookie和session配合的驗證。有了這個驗證過程，咱們就能夠實現和其餘網站同樣必須登陸才能進入後臺頁面了。

      先說一下這種認證的機制。每當咱們使用一款瀏覽器訪問一個登錄頁面的時候，一旦咱們經過了認證。服務器端就會發送一組隨機惟一的字符串（假設是123abc）到瀏覽器端，這個被存儲在瀏覽端的東西就叫cookie。而服務器端也會本身存儲一下用戶當前的狀態，好比login=true，username=hahaha之類的用戶信息。可是這種存儲是以字典形式存儲的，字典的惟一key就是剛纔發給用戶的惟一的cookie值。那麼若是在服務器端查看session信息的話，理論上就會看到以下樣子的字典

{'123abc':{'login':true,'username:hahaha'}}

由於每一個cookie都是惟一的，因此咱們在電腦上換個瀏覽器再登錄同一個網站也須要再次驗證。那麼爲何說咱們只是理論上看到這樣子的字典呢？由於處於安全性的考慮，其實對於上面那個大字典不光key值123abc是被加密的，value值{'login':true,'username:hahaha'}在服務器端也是同樣被加密的。因此咱們服務器上就算打開session信息看到的也是相似與如下樣子的東西

{'123abc':dasdasdasd1231231da1231231}

借用一張別的大神畫的圖，能夠更直觀的看出來cookie和session的關係

 

cookie示例：

urls.py

from django.conf.urls import url
from django.contrib import admin

from app01 import views

urlpatterns = [
    url(r'^admin/', admin.site.urls),
    url(r'^login/', views.login),
    url(r'^classes/', views.classes),

]

　views.py

from django.shortcuts import render,redirect,HttpResponse
import pymysql,json
def classes(request):
    res=request.COOKIES.get("ticket")
    print(res)
    if not res:
        return redirect("/login/")
    else:
        conn = pymysql.connect(host='127.0.0.1', port=3306, user='root', passwd='xyy123', db='day63',charset="utf8")
        cursor = conn.cursor(cursor=pymysql.cursors.DictCursor)
        cursor.execute("select cid,cname from class")
        class_list = cursor.fetchall()
        cursor.close()
        conn.close()
        return render(request,"classes.html",{"class_list":class_list})


def login(request):
    if request.method=="GET":
        return render(request,"login.html")
    else:
        username=request.POST.get("username")
        password=request.POST.get("password")
        if username=="xuyuanyuan" and password=="xyy123":
            obj=redirect("/classes/")
            obj.set_cookie("ticket","abcdefg")
            return obj
        else:
            return render(request,"login.html")

login.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<form method="post" action="/login/">
    <input type="text" name="username" ><br>
    <input type="text" name="password"><br>
    <input type="submit" value="提交">
</form>
</body>
</html>

classes.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<table border="1px" class="table table-striped table-bordered table-hover">
        <thead>
            <tr>
                <th>班級ID</th>
                <th>班級名稱</th>
            </tr>
        </thead>
        <tbody>
            {% for i in class_list %}
            <tr>
                <td>{{ i.cid }}</td>
                <td>{{ i.cname }}</td>
            </tr>
            {% endfor %}
        </tbody>
</table>
</body>
</html>

其結果展現：

cookie and session設置過時時間示例：

設置過時時間參數語法：

views.py

from django.shortcuts import render,redirect

# Create your views here.

import datetime

def login(request):
    print("COOKIES",request.COOKIES)
    print("SESSION",request.session)
    if request.method=="POST":
        name=request.POST.get("user")
        pwd=request.POST.get("pwd")
        if name=="xuyuanyuan" and pwd=="xyy123":

            ret = redirect("/index/")
            #設置過時時間，max_age 和 expires 時間要設置的同樣。
            # ret.set_cookie("username", {"11": "22"})
            ret.set_cookie("username", {"11":"22"},max_age=10,expires=datetime.datetime.utcnow()+datetime.timedelta(days=3))
            return ret

            #COOKLE SESSION
            # request.session["is_login"]=True
            # request.session["user"]=name
            # return redirect("/index/")

    return render(request,"login.html")


def index(request):

    if request.COOKIES.get("username",None):
        name = request.COOKIES.get("username",None)
        return render(request, "index.html", locals())

    # if request.session.get("is_login",None):
    #     name=request.session.get("user",None)
    #     return render(request,"index.html",locals())

    else:
        return redirect("/login/")

　　

Session簡介：

 

1、session原理：
客戶端來登陸，服務端隨機生成一個字符串，給客戶端一份，服務端保留一份，下次客戶端再帶上隨機的字符串來訪問時，服務端則根據這個隨機的字符串，反饋給客戶端這個字符串所對應的values值（當程序須要爲某個客戶端的請求建立一個session的時候，服務器首先檢查這個客戶端的請求裏是否已包含了一個session標識 - 稱爲 session id，若是已包含一個session id則說明之前已經爲此客戶端建立過session，服務器就按照session id把這個 session檢索出來使用（若是檢索不到，可能會新建一個），若是客戶端請求不包含session id，則爲此客戶端建立一個session而且生成一個與此session相關聯的session id，session id的值應該是一個既不會重複，又不容易被找到規律以仿造的字符串，這個 session id將被在本次響應中返回給客戶端保存。 ）

應用：依賴cookie
做用：保持會話（Web網站）
好處：敏感信息不會直接給客戶端

 

2、術語session 
session，中文常常翻譯爲會話，其原本的含義是指善始善終的一系列動做/消息，

一、login頁面正確登陸的話，後臺頁面能夠獲取到瀏覽器攜帶的cookie的。

二、第一行的sessionid其實就是cookie值

三、session的內容是加密的，從客戶端獲取不到session的內容

四、服務端能夠經過預設的key值取出session的內容並打印到前段

五、django的session默認是存儲在數據庫裏的，咱們再到數據庫查看一下真正session內容

 

示例：

基於session作用戶登陸：

urls.py

urlpatterns = [
    # ========app01裏的內容=========
    url(r'^admin/', admin.site.urls),
    url(r'^login.html$', views.login),
    url(r'^index.html$', views.index),

]

views.py

from django.shortcuts import render,redirect,HttpResponse
from app01 import models
def login(request):
    if request.method=="GET":
        return render(request,"login.html")
    else:
        username=request.POST.get("uname")
        password=request.POST.get("pwd")
        obj=models.Userinfo.objects.filter(username=username,pwd=password).first()
        if obj:
            # 1. 生成隨機字符串
            # 2. 經過cookie發送給客戶端
            # 3. 服務端保存
            # {
            #   隨機字符串1: {'username':'alex','email':x''...}
            # }
            request.session['username'] = obj.username
            return redirect('/index.html')
        else:
            return render(request,"login.html",{"msg":"用戶名或密碼有誤"})


def index(request):
    # 1. 獲取客戶端端cookie中的隨機字符串
    # 2. 去session中查找有沒有隨機字符
    # 3. 去session對應key的value中查看是否有 username
    v = request.session.get('username')
    if v:
        return HttpResponse('登陸成功:%s' %v)
    else:
        return redirect('/login.html')

login.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>用戶登陸</h1>
<form method="post" action="/login.html">
    {% csrf_token %}
    <div>
        用戶名：<input type="text" name="uname">
    </div>
    <div>
        密 碼：<input type="password" name="pwd"><br>
    </div>
    <input type="submit" value="登陸">{{ mag }}

</form>
</body>
</html>

index.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>登陸成功</h1>
</body>
</html>

 

Django中默認支持Session，其內部提供了5種類型的Session供開發者使用：

  • 數據庫（默認）
  • 緩存
  • 文件
  • 緩存+數據庫
  • 加密cookie

一、數據庫Session

Django默認支持Session，而且默認是將Session數據存儲在數據庫中，即：django_session 表中。
 
a. 配置 settings.py
 
    SESSION_ENGINE = 'django.contrib.sessions.backends.db'   # 引擎（默認）
     
    SESSION_COOKIE_NAME ＝ "sessionid"                       # Session的cookie保存在瀏覽器上時的key，即：sessionid＝隨機字符串（默認）
    SESSION_COOKIE_PATH ＝ "/"                               # Session的cookie保存的路徑（默認）
    SESSION_COOKIE_DOMAIN = None                             # Session的cookie保存的域名（默認）
    SESSION_COOKIE_SECURE = False                            # 是否Https傳輸cookie（默認）
    SESSION_COOKIE_HTTPONLY = True                           # 是否Session的cookie只支持http傳輸（默認）
    SESSION_COOKIE_AGE = 1209600                             # Session的cookie失效日期（2周）（默認）
    SESSION_EXPIRE_AT_BROWSER_CLOSE = False                  # 是否關閉瀏覽器使得Session過時（默認）
    SESSION_SAVE_EVERY_REQUEST = False                       # 是否每次請求都保存Session，默認修改以後才保存（默認）
 
 
 
b. 使用
 
    def index(request):
        # 獲取、設置、刪除Session中數據
        request.session['k1']
        request.session.get('k1',None)
        request.session['k1'] = 123
        request.session.setdefault('k1',123) # 存在則不設置
        del request.session['k1']
 
        # 全部 鍵、值、鍵值對
        request.session.keys()
        request.session.values()
        request.session.items()
        request.session.iterkeys()
        request.session.itervalues()
        request.session.iteritems()
 
 
        # 用戶session的隨機字符串
        request.session.session_key
 
        # 將全部Session失效日期小於當前日期的數據刪除
        request.session.clear_expired()
 
        # 檢查 用戶session的隨機字符串 在數據庫中是否
        request.session.exists("session_key")
 
        # 刪除當前用戶的全部Session數據
        request.session.delete("session_key")
 
        request.session.set_expiry(value)
            * 若是value是個整數，session會在些秒數後失效。
            * 若是value是個datatime或timedelta，session就會在這個時間後失效。
            * 若是value是0,用戶關閉瀏覽器session就會失效。
            * 若是value是None,session會依賴全局session失效策略。

二、緩存Session

a. 配置 settings.py
 
    SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # 引擎
    SESSION_CACHE_ALIAS = 'default'                            # 使用的緩存別名（默認內存緩存，也能夠是memcache），此處別名依賴緩存的設置
 
 
    SESSION_COOKIE_NAME ＝ "sessionid"                        # Session的cookie保存在瀏覽器上時的key，即：sessionid＝隨機字符串
    SESSION_COOKIE_PATH ＝ "/"                                # Session的cookie保存的路徑
    SESSION_COOKIE_DOMAIN = None                              # Session的cookie保存的域名
    SESSION_COOKIE_SECURE = False                             # 是否Https傳輸cookie
    SESSION_COOKIE_HTTPONLY = True                            # 是否Session的cookie只支持http傳輸
    SESSION_COOKIE_AGE = 1209600                              # Session的cookie失效日期（2周）
    SESSION_EXPIRE_AT_BROWSER_CLOSE = False                   # 是否關閉瀏覽器使得Session過時
    SESSION_SAVE_EVERY_REQUEST = False                        # 是否每次請求都保存Session，默認修改以後才保存
 
 
 
b. 使用
 
    同上

三、文件Session

a. 配置 settings.py
 
    SESSION_ENGINE = 'django.contrib.sessions.backends.file'    # 引擎
    SESSION_FILE_PATH = None                                    # 緩存文件路徑，若是爲None，則使用tempfile模塊獲取一個臨時地址tempfile.gettempdir()                                                            # 如：/var/folders/d3/j9tj0gz93dg06bmwxmhh6_xm0000gn/T
 
 
    SESSION_COOKIE_NAME ＝ "sessionid"                          # Session的cookie保存在瀏覽器上時的key，即：sessionid＝隨機字符串
    SESSION_COOKIE_PATH ＝ "/"                                  # Session的cookie保存的路徑
    SESSION_COOKIE_DOMAIN = None                                # Session的cookie保存的域名
    SESSION_COOKIE_SECURE = False                               # 是否Https傳輸cookie
    SESSION_COOKIE_HTTPONLY = True                              # 是否Session的cookie只支持http傳輸
    SESSION_COOKIE_AGE = 1209600                                # Session的cookie失效日期（2周）
    SESSION_EXPIRE_AT_BROWSER_CLOSE = False                     # 是否關閉瀏覽器使得Session過時
    SESSION_SAVE_EVERY_REQUEST = False                          # 是否每次請求都保存Session，默認修改以後才保存
 
b. 使用
 
    同上

四、緩存+數據庫Session

數據庫用於作持久化，緩存用於提升效率
 
a. 配置 settings.py
 
    SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db'        # 引擎
 
b. 使用
 
    同上

五、加密cookie Session

a. 配置 settings.py
     
    SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies'   # 引擎
 
b. 使用
 
    同上

　　

總結一下cookie和session的知識點

1、操做Cookie

　　獲取cookie：request.COOKIES[key]

　　設置cookie：response.set_cookie(key,value)

2、操做Session(session默認在服務器端保存15天)

　　獲取session：request.session[key]

　　設置session：reqeust.session[key] = value

　　刪除session：del request.session[key]    

（這個刪除其實就是把數據庫的session_data更新爲一個其餘的值了，並無當即刪除）

request.session.set_expiry(value)
* 若是value是個整數，session會在些秒數後失效。
* 若是value是個datatime或timedelta，session就會在這個時間後失效。
* 若是value是0,用戶關閉瀏覽器session就會失效。
* 若是value是None,session會依賴全局session失效策略。
相關文章
相關標籤/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公眾號
   歡迎關注本站公眾號,獲取更多信息
聯繫我們 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程