Cookie与Session CBV中加装饰器

目录

一.会话跟踪技术

什么是会话跟踪？

我们需要先了解一下什么是会话。可以把会话理解为客户端和服务端之间的一次会晤，在一次会晤中可能会包含多次请求和响应。
例如你给10086打个电话，你就是客户端，而10086就是服务端。从双方接通电话那一刻起，会话就开始了，到某一方挂断电话表示会话结束。在通话过程中，你会向10086发出多个请求，那么这么多个请求都在一个会话中。
在web中，客户向某一服务器发出第一个请求开始，会话就开始了，直到客户关闭了浏览器会话结束。

在一个会话的多个请求中共享数据，这就是会话跟踪技术。例如在一个会话中的请求如下：  请求银行主页；
● 请求登录（请求参数是用户名和密码）；
● 请求转账（请求参数与转账相关的数据）；
● 请求信誉卡还款（请求参数与还款相关的数据）。

在这上会话中当前用户信息必须在这个会话中共享的，因为登录的是张三，那么在转账和还款时一定是相对张三的转账和还款！这就说明我们必须在一个会话过程中有共享数据的能力。
会话路径技术使用Cookie或session完成

我们知道HTTP协议是无状态协议，也就是说每个请求都是独立的！无法记录前一次请求的状态。但HTTP协议中可以使用Cookie来完成会话跟踪！在Web开发中，使用session来完成会话跟踪，session底层依赖Cookie技术。

二.Cookie介绍

1.cookie的由来

大家都知道http协议是无状态的
无状态的意思是每次请求都是独立的，它的执行情况和结果与前面的请求和之后的请求都无直接关系，它不会受前面的请求响应直接影响，也不会直接影响后面的请求响应情况。
一句有意思的话来描述就是人生只如初见，对服务器来说，每次的请求都是全新的。
状态可以理解为客户端和服务器在某次会话中产生的数据，那无状态的就以为这些数据不会被保留。会话中产生的数据又是我们需要保存的，也就是说要“保持状态”。因此cookie就是在这样一个场景下诞生。

2.什么是cookie

其实Cookie是key-value结构，类似于一个python中的字典。
随着服务器端的响应发送给客户端浏览器。然后客户端浏览器会把Cookie保存起来，当下一次再访问服务器时把Cookie再发送给服务器。 
Cookie是由服务器创建，然后通过响应发送给客户端的一个键值对。客户端会保存Cookie，并会标注出Cookie的来源（哪个服务器的Cookie）。
当客户端向服务器发出请求时会把所有这个服务器Cookie包含在请求中发送给服务器，这样服务器就可以识别客户端了！	

3.cookie的原理

cookie的工作原理是：有服务器产生内容，浏览器收到请求后保存在本地；当浏览器再次访问时，浏览器会自动带上cookie，这样服务器就通过cookie的内容来判断这个是谁了。

4.cookie规范

• Cookie大小上限为4KB；
• 一个服务器最多在客户端浏览器上保存20个Cookie；
• 一个浏览器最多保存300个Cookie；

上面的数据只是HTTP的Cookie规范，但在浏览器大战的今天，一些浏览器为了打败对手，为了展现自己的能力起见，可能对Cookie规范“扩展”了一些，例如每个Cookie的大小为8KB，最多可保存500个Cookie等！但也不会出现把你硬盘占满的可能！
注意，不同浏览器之间是不共享Cookie的。也就是说在你使用IE访问服务器时，服务器会把Cookie发给IE，然后由IE保存起来，当你在使用FireFox访问服务器时，不可能把IE保存的Cookie发送给服务器。
5.cookie的覆盖

如果服务器端发送重复的Cookie那么会覆盖原有的Cookie，例如客户端的第一个请求服务器端发送的Cookie是：Set-Cookie: a=A；第二请求服务器端发送的是：Set-Cookie: a=AA，那么客户端只留下一个Cookie，即：a=AA。

6.在浏览器中查看cookie
浏览器中按F12，点network—cookies就能看到

7.Django操作cookie

• 获取cookie

request.COOKIES['key']
request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None)

参数：
● default: 默认值
● salt: 加密盐
● max_age: 后台控制过期时间

• 设置cookie

rep = HttpResponse(...)
rep ＝ render(request, ...)

rep.set_cookie(key,value)
rep.set_signed_cookie(key,value,salt='加密盐')

参数：
● key, 键
● value=’’, 值
● max_age=None, 超时时间 cookie需要延续的时间（以秒为单位）如果参数是\ None`` ，这个cookie会延续到浏览器关闭为止
● expires=None, 超时时间(IE requires expires, so set it if hasn’t been already.)
● path=’/‘, Cookie生效的路径，/ 表示根路径，特殊的：根路径的cookie可以被任何url的页面访问，浏览器只会把cookie回传给带有该路径的页面，这样可以避免将cookie传给站点中的其他的应用。
● domain=None, Cookie生效的域名 你可用这个参数来构造一个跨站cookie。如， domain=”.example.com”所构造的cookie对下面这些站点都是可读的：www.example.com 、 www2.example.com 和an.other.sub.domain.example.com 。如果该参数设置为 None ，cookie只能由设置它的站点读取
● secure=False, 浏览器将通过HTTPS来回传cookie
● httponly=False 只能http协议传输，无法被JavaScript获取（不是绝对，底层抓包可以获取到也可以被覆盖）

• 删除Cookie

def logout(request):
    rep = redirect("/login/")
    rep.delete_cookie("user")  # 删除用户浏览器上之前设置的usercookie值
    return rep

• ookie版登录校验

from django.shortcuts import render,HttpResponse,redirect

# Create your views here.


def login_func(request):
    if request.method == 'POST':
        username = request.POST.get('username')
        password = request.POST.get('password')
        if username == 'jason' and password == '123':
            '''
                通过GET请求拿到next的值，以便登录成功之后，跳转到指定的页面，
                这里是和装饰器里面的的拿到指定路径是紧密相连的
            '''
            target_path = request.GET.get('next')
            if target_path:
                obj = redirect(target_path)
            else:
                obj = redirect('/home/')
                '''
                    # 这里是给浏览器一个cookie，以便之后访问无需再次登录，
                    如果可以拿到这个令牌就无需再次登录
                '''
            obj.set_cookie('name', username)
            return obj
    return render(request, 'loginPage.html')


def login_auth(func_name):
    def inner(request, *args, **kwargs):
        # print(request.path)    # 只获取用户输入的路由信息
        # print(request.path_info)  # 只获取用户输入的路由信息
        # print(request.get_full_path())  # 获取用户输入的路由信息＋问号后面携带的数据
        target_path = request.path_info
        if request.COOKIES.get('name'):    # 如果通过cookie拿到浏览器用户的名字，则可以直接跳过登录验证
            res = func_name(request, *args, **kwargs)
            return res
        '''
             通过用户想去的页面，通过path_info拿到，然后没有登录就跳到登录页面，登录后通过登录函数进行next的值判断跳转的页面
        '''
        return redirect('/loginPage/?next=%s' % target_path)
    return inner
@login_auth
def home(request):
    return HttpResponse('这是home页面，只有登录才能查看')

@login_auth
def home1(request):
    return HttpResponse('这是home1页面，只有登录才能查看')

@login_auth
def home2(request):
    return HttpResponse('这是home2页面，只有登录才能查看')

三、session介绍

session的由来

cookie虽然在一定程度上解决了‘保持状态’的需求，但是由于cookie本身最大支持4096字节，以及cookie本身保存在客户端，可能被拦截或截取，因此就需要有一种新的东西，它能支持更多的字节，并且他能带保存在服务器，有较高的安全性。这就是session。

问题来了，基于http协议的无状态特征，服务器根本不知道访问者是‘谁’。那么上述的cookie就起到桥接的作用。

我们可以给每个客户端的cookie分配一个唯一的id，这样用户在访问时，通过cookie，服务器就知道来的人是‘谁’。然后我们再根据不同的cookie的id，在服务器上保存一段时间的私密资料，如账号密码。

总结而言：cookie弥补了http无状态的不足，让服务器知道来的人是谁，但是cookie以文本的形式保存在本地，自身安全性较差，所以我们通过cookie识别不同的用户，对应的在session里保存私密的信息以及超过4096字节的文本。

另外，上述所说的cookie和session其实是共同通性的东西，不限于语言和框架。

老师讲得，便于理解

session的诞生, session是把数据保存在服务端的，但是，session会生成一个随机字符串，在服务端做随机字符串和用户信息的对应关系
就是把用户信息保存在数据表中了，它是如何保存的？
    随机字符串1：用户信息1
    随机字符串2：用户信息2
    随机字符串3：用户信息3

session做的事情：
	1. 生成一个随机字符串
	2. 把随机字符串和用户信息的对应关系保存在数据表中
	3. 把随机字符串返回给浏览器，让浏览器把随机字符串保存下来
之后，用户在访问网站的时候，会把随机字符串一块提交过来，服务端拿着随机字符串去数据表中查询，如果查到了，说明登录了，如果查不到，就说明还没有登录

图解

Django操作session

def set_se_func(request):
    request.session['desc'] = '好好学习'
    return HttpResponse('天天向上')

这里会报错

原因：
由于session是保存在服务端上面的数据 就应该有个地方能够存储
我们只需要执行数据库迁移命令即可 django会自动创建很多需要的表

迁移完可见

session_data里面存的是真正的数据
session是保存在服务端上的
session_key是随机字符串，生成之后要给浏览器一份，之后浏览器会拿着这个字符串来和数据表中查找，所以浏览器一定也是有这个值的

以后向服务端发起请求就会自动带着这个串，服务端会自动进行校验，有没有这个字符串，如果有的话，就会拿到加密的数据，会自动帮你解密，这样安全性就会高很多。

django默认的session失效时间是14天，用的是UTC时间＋8

• 设置session

    request.session['key'] = value
    1.生成一个随机字符串
    2.对value数据做加密处理 并在django_session表中存储
        随机字符串>>>加密数据
    3.将随机字符串也发送一份给客户端保存(cookie)
        sessionid:随机字符串
  

• 获取session

    request.session.get('key')
    1.自动获取随机字符串
    2.去django_session表中根据随机字符串获取加密的数据
    3.自动解密数据并处理到request.sesion.get()中
  

• 补充说明
  1.可以设置过期时间
  2.存储session数据的位置也可以修改
  代码演示

def set_se_func(request):
    request.session['desc'] = '好好学习'
    request.session.set_expiry(5)  # 过来五秒不能查到该数据了
    return HttpResponse('天天向上')


def get_se_func(request):
    print(request.session.get('desc'))
    return HttpResponse('加油')

由于设置了时间，所以过期就查不到了

四、Django中Session相关方法

# 获取、设置、删除Session中数据
request.session['k1']
request.session.get('k1',None)
request.session['k1'] = 123
request.session.setdefault('k1',123) # 存在则不设置
del request.session['k1']


# 所有 键、值、键值对
request.session.keys()
request.session.values()
request.session.items()
request.session.iterkeys()
request.session.itervalues()
request.session.iteritems()

# 会话session的key
request.session.session_key

# 将所有Session失效日期小于当前日期的数据删除
request.session.clear_expired()

# 检查会话session的key在数据库中是否存在
request.session.exists("session_key")

# 删除当前会话的所有Session数据(只删数据库)
request.session.delete()
　　
# 删除当前的会话数据并删除会话的Cookie（数据库和cookie都删）。
request.session.flush() 
    这用于确保前面的会话数据不可以再次被用户的浏览器访问
    例如，django.contrib.auth.logout() 函数中就会调用它。

# 设置会话Session和Cookie的超时时间
request.session.set_expiry(value)
    * 如果value是个整数，session会在些秒数后失效。
    * 如果value是个datatime或timedelta，session就会在这个时间后失效。
    * 如果value是0,用户关闭浏览器session就会失效。
    * 如果value是None,session会依赖全局session失效策略。

Django中使用session时，做的事：

# 生成随机字符串
# 写浏览器cookie -> session_id: 随机字符串
# 写到服务端session：
    # {
    #     "随机字符串": {'user':'alex'}
    # }

五、Django中的Session配置

1. 数据库Session
SESSION_ENGINE = 'django.contrib.sessions.backends.db'   # 引擎（默认）

2. 缓存Session
SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # 引擎
SESSION_CACHE_ALIAS = 'default'                            # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置

3. 文件Session
SESSION_ENGINE = 'django.contrib.sessions.backends.file'    # 引擎
SESSION_FILE_PATH = None                                    # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir() 

4. 缓存+数据库
SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db'        # 引擎

5. 加密Cookie Session
SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies'   # 引擎

其他公用设置项：
SESSION_COOKIE_NAME ＝ "sessionid"                       # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）
SESSION_COOKIE_PATH ＝ "/"                               # Session的cookie保存的路径（默认）
SESSION_COOKIE_DOMAIN = None                             # Session的cookie保存的域名（默认）
SESSION_COOKIE_SECURE = False                            # 是否Https传输cookie（默认）
SESSION_COOKIE_HTTPONLY = True                           # 是否Session的cookie只支持http传输（默认）
SESSION_COOKIE_AGE = 1209600                             # Session的cookie失效日期（2周）（默认）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False                  # 是否关闭浏览器使得Session过期（默认）
SESSION_SAVE_EVERY_REQUEST = False                       # 是否每次请求都保存Session，默认修改之后才保存（默认）

六、CBV中加装饰器

from django import views
from django.utils.decorators import method_decorator
# 方式二：在类头上加
# @method_decorator(login_auth,name='get')
# @method_decorator(login_auth,name='post')
class UserList(views.View):
	# 方式三：定义一个dispatch，让他去继承父类的方法
    # @method_decorator(login_auth)
    def dispatch(self, request, *args, **kwargs):
        obj=super().dispatch(request, *args, **kwargs)
        return obj
	# 方式一：直接在方法头上加上装饰器
    @method_decorator(login_auth)
    def get(self,request):
        return HttpResponse('我是用户列表')

    def post(self,request):
        return HttpResponse('我是用户列表')

本栏目推荐文章
• 短视频商城系统，session和cookie实现登录
• 加了@SessionAttributes("uid")退出登陆后如何清除session
• 阻止所有cookie什么意思
• cookie是啥
• 什么是浏览器cookie
• 面试官：禁用Cookie后Session还能用吗？
• 【五期李伟平】CCF-A（MobiCom'18 Session EdgeTech'18）A Game-Theoretic Approach to Multi-Objective Resource Sharing and Allocation in Mobile Edge Clouds
• 中间件 ZK分布式专题与Dubbo微服务入门 4-2 session的基本原理与create命令的使用
• Python Flask session 内容保存到用户浏览器里
• 【Azure APIM】APIM 策略语句如何来设置多个Cookie值让浏览器保存

Session Cookie CBVsession cookie cbv 源码 模板session cbv 源码session flask cbv 模版 源码session cbv session cookie session-cookie session cookie token session服务器cookie session cookie token jwt session cookie java