Django Cookie于Session

Posted 2021-01-21 louyefeng

一.Cookie与Session由来

因为Http协议的特性,每一次来自用户浏览器的请求都是无状态且独立的,通俗地说,就是无法保存用户状态,后台服务器根本就不知道当前请求和以前及以后请求是否来自同一用户,对于静态网站,这可能不是一个问题,但是对于动态网站来说,无法识别用户并保存用户状态是致命的,根本就无法提供服务。

为了保持链接状态,网站会通过用户的浏览器在用户机器内被限定的硬盘位置中写入一些数据,也就是所谓的Cookie.通过Cookie可以保存一些诸如用户名、浏览记录、表单记录等各种数据。但是这种方式非常不安全,因为Cookie保存在用户的机器上,如果Cookie被伪造、篡改或删除,就会造成极大的安全威胁,因此,当下网站设计通常将Cookie用来保存一些不重要的内容,实际的用户数据和状态还是以Session会话的方式保存在服务器。

Session就是在服务器端的Cookie,将用户数据保存在服务端,远比保存在用户端要安全方便和快捷得多。Session是依赖于Cookie的,但与Cookie的不同之处就是Session将所有的数据都放在服务端,用户浏览器的Cookie中只会保存一个非明文的识别信息。

Session是大多数网站都需要具备的功能。Django为我们提供了一个通用的Session框架,并且可以使用多种session数据的保存方式,通常情况,没有特别需求的话,都会使用保存在数据库内的方式.

Django的session框架支持匿名会话,封装了cookie的发送和接收过程,cookie包含一个会话ID而不是数据本身.Django的会话框架完全地唯一地基于Cookie。

二.Cookie的使用

1.cookie原理

其实Cookie是key-value结构,类似一个python中的字典,随着服务端的响应发送给客户端浏览器,然后客户端浏览器会把Cookie保存起来,当下一次再访问服务器把Cookie再发送给服务端。
工作原理:由服务器产生内容,浏览器收到请求后保存在本地;当浏览器再次访问时,浏览器会自动带上Cookie,这样服务器就能通过Cookie的内容来判断.

2.Cookie规范

1.Cookie大小上限为4KB
2.一个服务器最多再客户端浏览器上保存20个Cookie
3.一个浏览器最多保存300个Cookie
这些数据知识HTTP的Cookie规范,在浏览器发展迅速的今天,一些浏览器可能对Cookie规范扩展了一些。

3.Django中操作Cookie

设置Cookie

rep = HttpResponse(...)
rep = render(request,...)

rep.set_cookie(key,value,...)
rep.set_signed_cookie(key,value,salt='',...)

参数:
1.key,键
2.value,值
3.max_age=None超时时间,Cookie需要延续的时间(以秒为单位),如果参数时None,这个Cookie会延续到浏览器关闭为止
4.expires=None,超时时间,传一个datatime对象
5.path='/',Cookie生效的路径,/表示根路径,设置path='/index/',那么只有访问index的时候,才会携带cookie
6.domin=None,Cookie生效的域名.
7.secure=False,浏览器将通过HTTPS来回传Cookie
8.httponly=False,只能HTTP协议传输,无法被javascript获取

获取Cookie

request.COOKIES('key')
request.get_signed_cookie(key,default=RAISE_ERROR,salt='',max_age=None)

参数:
1.default:默认值
2.salt:加密盐
3.max_age:后台控制过期时间

删除Cookie

rep = HttpResponse('abc') 
rep.delete_cookie('user')

三.Session的使用

session工作流程

1.生成随机字符串
2.存储数据库
3.写入cookie

注意:session必须跟cookie连用

Session操作

# 获取、设置、删除Session中数据
request.session['k1']
request.session.get('k1',None)
request.session['k1'] = 123
request.session.setdefault('k1',123) # 存在则不设置
del request.session['k1']

# 所有 键、值、键值对
request.session.keys()
request.session.values()
request.session.items()
request.session.iterkeys()
request.session.itervalues()
request.session.iteritems()

# 会话session的key
request.session.session_key

# 将所有Session失效日期小于当前日期的数据删除
request.session.clear_expired()

# 检查会话session的key在数据库中是否存在
request.session.exists("session_key")

# 删除当前会话的所有Session数据(只删数据库)
request.session.delete()
　　
# 删除当前的会话数据并删除会话的Cookie（数据库和cookie都删）。
request.session.flush() 
    这用于确保前面的会话数据不可以再次被用户的浏览器访问
    例如，django.contrib.auth.logout() 函数中就会调用它。

# 设置会话Session和Cookie的超时时间
request.session.set_expiry(value)
    * 如果value是个整数，session会在对应秒数后失效。
    * 如果value是个datatime或timedelta，session就会在这个时间后失效。
    * 如果value是0,用户关闭浏览器session就会失效。
    * 如果value是None,session会依赖全局session失效策略。

四.Django中Session配置

1. 数据库Session
SESSION_ENGINE = 'django.contrib.sessions.backends.db'   # 引擎（默认）

2. 缓存Session
SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # 引擎
SESSION_CACHE_ALIAS = 'default'                            # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置

3. 文件Session
SESSION_ENGINE = 'django.contrib.sessions.backends.file'    # 引擎
SESSION_FILE_PATH = None                                    # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir() 

4. 缓存+数据库
SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db'        # 引擎

5. 加密Cookie Session
SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies'   # 引擎

其他公用设置项：
SESSION_COOKIE_NAME ＝ "sessionid"        # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）
SESSION_COOKIE_PATH ＝ "/"                # Session的cookie保存的路径（默认）
SESSION_COOKIE_DOMAIN = None              # Session的cookie保存的域名（默认）
SESSION_COOKIE_SECURE = False             # 是否Https传输cookie（默认）
SESSION_COOKIE_HTTPONLY = True            # 是否Session的cookie只支持http传输（默认）
SESSION_COOKIE_AGE = 1209600              # Session的cookie失效日期（2周）（默认）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False   # 是否关闭浏览器使得Session过期（默认）
SESSION_SAVE_EVERY_REQUEST = False        # 是否每次请求都保存Session，默认修改之后才保存（默认）