Django：如何在不使用 SESSION_SAVE_EVERY_REQUEST 的情况下为 AnonymousUser 设置 sessionid cookie

Posted 2023-03-08

【中文标题】Django：如何在不使用 SESSION_SAVE_EVERY_REQUEST 的情况下为 AnonymousUser 设置 sessionid cookie

【英文标题】：Django: How to set sessionid cookie for AnonymousUser without using SESSION_SAVE_EVERY_REQUEST

【发布时间】：2013-02-03 16:18:21

【问题描述】：

我正在尝试跟踪 AnonymousUsers，以了解他们何时首次访问该网站以及何时注册该网站。

为此，我创建了一个具有相关功能的中间件，但这最初假设每个 AnonymousUsers 已经有一个与之关联的会话（即 sessionid cookie 将在第一个响应中设置，并且关联的会话已经在 django_session 中创建）。 注意：存在会话应用和中间件

似乎情况并非如此，因为查看会话中间件，当 AnonymousUser 首次进入站点时，会话永远不会被修改（用户会这样做，因为设置了 '_auth_user_id' 和 '_auth_user_backend'），并且所以永远不会被创建：

SessionMiddleware.process_response

def process_response(self, request, response):
    """
    If request.session was modified, or if the configuration is to save the
    session every time, save the changes and set a session cookie.
    """
    try:
        accessed = request.session.accessed
        modified = request.session.modified
    except AttributeError:
        pass
    else:
        if accessed:
            patch_vary_headers(response, ('Cookie',))
        if modified or settings.SESSION_SAVE_EVERY_REQUEST:
            if request.session.get_expire_at_browser_close():
                max_age = None
                expires = None
            else:
                max_age = request.session.get_expiry_age()
                expires_time = time.time() + max_age
                expires = cookie_date(expires_time)
            # Save the session data and refresh the client cookie.
            request.session.save()
            response.set_cookie(settings.SESSION_COOKIE_NAME,
                    request.session.session_key, max_age=max_age,
                    expires=expires, domain=settings.SESSION_COOKIE_DOMAIN,
                    path=settings.SESSION_COOKIE_PATH,
                    secure=settings.SESSION_COOKIE_SECURE or None,
                    httponly=settings.SESSION_COOKIE_HTTPONLY or None)
    return response

---

尝试 1

为了尝试克服这个问题，在我的中间件中，它位于会话中间件下方，我将强制会话上的 save() 来创建它：

if hasattr(request, 'session') and not request.session.session_key:
    request.session.save()

这会提供session_key，但不幸的是当SessionMiddleware.process_response被调用时，request.session.modified仍然等于False，所以没有设置sessionid cookie...

---

尝试 2

这样做的一种方法似乎是以任意方式修改会话，以确保 SessionMiddleware.process_response 中的request.session.modified == True：

if hasattr(request, 'session') and not request.session.session_key:
    request.session.save()
    request.session['some_variable'] = True

这似乎解决了我的问题，而无需诉诸 SESSION_SAVE_EVERY_REQUEST，这将是一个矫枉过正，但似乎不太正确....

---

问题

如何确保会话是为以前没有访问过的 AnonymousUser 创建的，无需显式修改会话或具有SESSION_SAVE_EVERY_REQUEST=True？

感谢您的帮助！

【参考方案1】：

即使显式修改会话也可能失败（例如，将属性分配给会话属性）。

您需要将session.modified 显式设置为true

if hasattr(request, 'session') and not request.session.session_key:
    request.session.save()
    request.session.modified = True

看看docs 在保存会话时说了什么。

【讨论】：

谢谢艾丹，效果很好。我仍然不清楚为什么会话模块不会创建会话，如果一个会话不存在，但只有当它被“修改”时......？

是的，我知道你的意思。很高兴你把它整理好了。