cookie和session的介绍
1.cookie和session
cookie不属于http协议范围，由于http协议无法保持状态，但实际情况，我们却又需要“保持状态”，因此产生cookie。
cookie的工作原理是：由服务器产生内容，浏览器收到请求后保存在本地；当浏览器再次访问时，浏览器会自动带上cookie，这样服务器就能通过cookie的内容来判断这个是“谁”了。
cookie虽然在一定程度上解决了“保持状态”的需求，但是由于cookie本身最大支持4096字节，以及cookie本身保存在客户端，可能被拦截或窃取，因此就需要有一种新的东西，它能支持更多的字节，并且他保存在服务器，有较高的安全性。这就是session。
基于http协议的无状态特征，服务器根本就不知道访问者是“谁”。那么上述的cookie就起到桥接的作用。
我们可以给每个客户端的cookie分配一个唯一的id，这样用户在访问时，通过cookie，服务器就知道来的人是“谁”。然后我们再根据不同的cookie的id，在服务器上保存一段时间的私密资料，如“账号密码”等等。
总结而言：cookie弥补了http无状态的不足，让服务器知道来的人是“谁”；但是cookie以文本的形式保存在本地，自身安全性较差；所以我们就通过cookie识别不同的用户，对应的在session里保存私密的信息以及超过4096字节的文本。
2.登陆应用原理
之前所写的登录认证，可以绕过登陆页面直接输入后台的url地址也可以直接访问，这显然是不合理的。此时我们就需要一种验证机制来执行他的访问顺序,这就引出了我们需要掌握的cookie和session知识。
每当使用浏览器访问登陆页面的时候，一旦通过了认证，服务器端就会发送一组随机唯一的字符串（假设是123abc）到浏览器端，这个被存储在浏览端的东西就叫cookie。而服务器端也会自己存储一下用户当前的状态，比如login=true，username=hahaha之类的用户信息。但是这种存储是以字典形式存储的，字典的唯一key就是刚才发给用户的唯一的cookie值。那么如果在服务器端查看session信息的话，理论上就会看到如下样子的字典
{'123abc':{'login':true,'username:hahaha'}}
因为每个cookie都是唯一的，所以我们在电脑上换个浏览器再登陆同一个网站也需要再次验证。那么为什么说我们只是理论上看到这样子的字典呢？因为处于安全性的考虑，其实对于上面那个大字典不光key值123abc是被加密的，value值{'login':true,'username:hahaha'}在服务器端也是一样被加密的。所以我们服务器上就算打开session信息看到的也是类似与以下样子的东西
{'123abc':dasdasdasd1231231da1231231}
3.cookie的使用
3.1.获取cookie
request.COOKIES.get("islogin",None) #如果有就获取，没有就默认为none
3.2.设置cookie
obj = redirect("/index/") obj.set_cookie("islogin",True) #设置cookie值，注意这里的参数，一个是键，一个是值 obj.set_cookie("han","344",20) #20代表过期时间 obj.set_cookie("username", username)
3.3.删除cookie
obj.delete_cookie("cookie_key",path="/",domain=name)
3.4代码演示
login.html
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <form action="" method="post"> {% csrf_token %} 用户名 <input type="text" name="user"> 密码 <input type="password" name="pwd"> <input type="submit"> </form> </body> </html>
index.html
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <h3>个人首页 上次登陆时间：{{ login_time }}</h3> <p>Hi，{{ username }}<a href="/logout/">注销</a></p> </body> </html>
url.py
from app01 import views urlpatterns = [ path('admin/', admin.site.urls), path('login/', views.login), path('index/', views.index), path('logout/', views.logout), ]
views.py
import datetime def login(request): if request.method=="POST": print("请求数据", request.POST) # 请求数据 <QueryDict: {'user': ['luffy'], # 'csrfmiddlewaretoken': ['HNPVaawl2uIskjF5ecDu4sCQ0ogHlJolmoJ3QwNUMJq6bjb2mvTYoTEQfkaU1nlZ'], # 'pwd': ['1234']}> user=request.POST.get("user") pwd=request.POST.get("pwd") if user=="luffy" and pwd=="1234": obj=redirect("/index/") # 设置cookie值，注意这里的参数，一个是键，一个是值 obj.set_cookie("is_login",True) obj.set_cookie("username",user) obj.set_cookie("login_time",datetime.datetime.now()) return obj return render(request, "login.html") def index(request): print("cookies>>>",request.COOKIES) # cookies>>> {'username': 'luffy', # 'csrftoken': 'VhnK7pMOMZaXkxnxAVR2mdOFNssjqQCgAShSNL3nweSBbxTuIe7wGEQF2omw6uzU', # 'login_time': '2018-07-05 22:43:37.046751', # 'Hm_lvt_382f81c966395258f239157654081890': '1530776325', # 'is_login': 'True'} is_login=request.COOKIES.get("is_login") if not is_login: return redirect("/login/") username=request.COOKIES.get("username") login_time=request.COOKIES.get("login_time") return render(request,"index.html",locals()) def logout(request): # 注意，我使用的是session来操作的 request.session.flush() return redirect("/login/")
效果：
点击提交后：
点击注销后，返回到登陆主页面,此时你无法通过url直接访问index页面，服务器已经把当前的cookie给清空了
3.5 cookie存储到客户端
优点：数据存储在客户端。减轻服务端的压力，提高网站的性能
缺点：安全性不高，在客户端很容易被查看或破解用户会话信息
4.session的使用
4.1相关操作
1、设置Sessions值
request.session['session_name'] ="admin"
2、获取Sessions值
session_name = request.session["session_name"]
3、删除Sessions值
del request.session["session_name"]
4、flush()
删除当前的会话数据并删除会话的Cookie。
这用于确保前面的会话数据不可以再次被用户的浏览器访问
4.2session配置
Django默认支持Session，并且默认是将Session数据存储在数据库中，即：django_session 表中。
a. 配置 settings.py
SESSION_ENGINE = 'django.contrib.sessions.backends.db' # 引擎（默认）
SESSION_COOKIE_NAME ＝ "sessionid" # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）
SESSION_COOKIE_PATH ＝ "/" # Session的cookie保存的路径（默认）
SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名（默认）
SESSION_COOKIE_SECURE = False # 是否Https传输cookie（默认）
SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输（默认）
SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期（2周）（默认）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期（默认）
SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session，默认修改之后才保存（默认）
4.3代码演示
这里代码和上个案例最终效果一模一样，不过在session里面增添了数据库的操作，而且session相关的数据都存放在数据库中
login.html
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <form action="" method="post"> {% csrf_token %} 用户名 <input type="text" name="user"> 密码 <input type="password" name="pwd"> <input type="submit"> </form> </body> </html>
index.html
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <h3>个人首页 上次登陆时间：{{ login_time }}</h3> <p>Hi，{{ username }}<a href="/logout/">注销</a></p> </body> </html>
models.py
class User(models.Model): user=models.CharField(max_length=32) pwd=models.CharField(max_length=32)
url.py
from app01 import views urlpatterns = [ path('login_session/', views.login_session), path('index_session/', views.index_session), path('logout/', views.logout), ]
views.py
from django.shortcuts import render,redirect # Create your views here. import datetime from app01.models import User def login_session(request): if request.method=="POST": user=request.POST.get("user") pwd=request.POST.get("pwd") if User.objects.filter(user=user,pwd=pwd): # 写session request.session["is_login"]=True request.session["username"]=user request.session["login_time"]=datetime.datetime.now().strftime("%Y-%m-%d %X") return redirect("/index_session/") return render(request, "login.html") def index_session(request): is_login=request.session.get("is_login") if not is_login: return redirect("/login_session/") username = request.session.get("username") login_time = request.session.get("login_time") return render(request,"index.html",locals()) def logout(request): request.session.flush() ''' 1 获取随机字符串sessionid 2t2g0q1njiq6ndct31vumwkplkilcj7o 2 在服务器的django-session表中存在三个字段 session-key session-data expire_date 123sasd3j980adnj3289asb {"is_login":True,"username":"alex"} 设置的失效时间 obj=django-session.objects.filter(session-key=2t2g0q1njiq6ndct31vumwkplkilcj7o).first() obj.delete() 3 response.delete_cookie("sessionid") ''' return redirect("/login_session/")
session在django中自己创建的数据路django_session
5.cookie和session的区别
1、cookie数据存放在客户的浏览器上，session数据放在服务器上。 2、cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗 考虑到安全应当使用session。 3、session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能 考虑到减轻服务器性能方面，应当使用COOKIE。 4、单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。 5、建议： 将登陆信息等重要信息存放为SESSION 其他信息如果需要保留，可以放在COOKIE中
6.清理过期session
如果用户主动退出，session会自动清除，如果没有退出就一直保留，记录数越来越大，要定时清理没用的session。
在django中运行如下命令:
python manage.py clearsessions
当然在pycharm中还有另外一条路径，这里就不做说明了
