tornado Cookie

设置

set_cookie(name, value, domain=None, expires=None, path='/', expires_days=None)

参数说明：

参数名说明
name cookie名
value cookie值
domain 提交cookie时匹配的域名
path 提交cookie时匹配的路径
expires cookie的有效期，可以是时间戳整数、时间元组或者datetime类型，为UTC时间
expires_days cookie的有效期，天数，优先级低于expires 
import datetime

class IndexHandler(RequestHandler):
    def get(self):
        self.set_cookie("n1", "v1")
        self.set_cookie("n2", "v2", path="/new", expires=time.strptime("2016-11-11 23:59:59","%Y-%m-%d %H:%M:%S"))
        self.set_cookie("n3", "v3", expires_days=20)
        # 利用time.mktime将本地时间转换为UTC标准时间
        self.set_cookie("n4", "v4", expires=time.mktime(time.strptime("2016-11-11 23:59:59","%Y-%m-%d %H:%M:%S")))
        self.write("OK")

原理

设置cookie实际就是通过设置header的Set-Cookie来实现的。

class IndexHandler(RequestHandler):
    def get(self):
        self.set_header("Set-Cookie", "n5=v5; expires=Fri, 11 Nov 2016 15:59:59 GMT; Path=/") 
        self.write("OK")

获取

get_cookie(name, default=None)

获取名为name的cookie，可以设置默认值。

class IndexHandler(RequestHandler):
    def get(self):
        n3 = self.get_cookie("n3")
        self.write(n3)

清除

clear_cookie(name, path='/', domain=None)

删除名为name，并同时匹配domain和path的cookie。

clear_all_cookies(path='/', domain=None)

删除同时匹配domain和path的所有cookie。

class ClearOneCookieHandler(RequestHandler):
    def get(self):
        self.clear_cookie("n3")
        self.write("OK")

class ClearAllCookieHandler(RequestHandler):
    def get(self):
        self.clear_all_cookies()
        self.write("OK")

注意：执行清除cookie操作后，并不是立即删除了浏览器中的cookie，而是给cookie值置空，并改变其有效期使其失效。真正的删除cookie是由浏览器去清理的。

安全Cookie

Cookie是存储在客户端浏览器中的，很容易被篡改。Tornado提供了一种对Cookie进行简易加密签名的方法来防止Cookie被恶意篡改。

使用安全Cookie需要为应用配置一个用来给Cookie进行混淆的秘钥cookie_secret，将其传递给Application的构造函数。我们可以使用如下方法来生成一个随机字符串作为cookie_secret的值。

>>> import base64, uuid
>>> base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes)
'2hcicVu+TqShDpfsjMWQLZ0Mkq5NPEWSk9fi0zsSt3A='

Base64是一种基于64个可打印字符来表示二进制数据的表示方法。由于2的6次方等于64，所以每6个比特为一个单元，对应某个可打印字符。三个字节有24个比特，对应于4个Base64单元，即3个字节需要用4个可打印字符来表示。

uuid, 通用唯一识别码（英语：Universally Unique Identifier，简称UUID），是由一组32个16进制数字所构成（两个16进制数是一个字节，总共16字节），因此UUID理论上的总数为16^32=2^128，约等于3.4 x 10^38。也就是说若每纳秒产生1兆个UUID，要花100亿年才会将所有UUID用完。

uuid模块的uuid4()函数可以随机产生一个uuid码，bytes属性将此uuid码作为16字节字符串。

将生成的cookie_secret传入Application构造函数：

app = tornado.web.Application(
    [(r"/", IndexHandler),],
    cookie_secret = "2hcicVu+TqShDpfsjMWQLZ0Mkq5NPEWSk9fi0zsSt3A="
)

获取和设置

set_secure_cookie(name, value, expires_days=30)

设置一个带签名和时间戳的cookie，防止cookie被伪造。

get_secure_cookie(name, value=None, max_age_days=31)

如果cookie存在且验证通过，返回cookie的值，否则返回None。max_age_day不同于expires_days，expires_days是设置浏览器中cookie的有效期，而max_age_day是过滤安全cookie的时间戳。

class IndexHandler(RequestHandler):
    def get(self):
        cookie = self.get_secure_cookie("count")
        count = int(cookie) + 1 if cookie else 1
        self.set_secure_cookie("count", str(count))
        self.write(
            '<html><head><title>Cookie计数器</title></head>'
            '<body><h1>您已访问本页%d次。</h1>' % count + 
            '</body></html>'
        )

我们看签名后的cookie值：

"2|1:0|10:1476412069|5:count|4:NQ==|cb5fc1d4434971de6abf87270ac33381c686e4ec8c6f7e62130a0f8cbe5b7609"

字段说明：

  1. 安全cookie的版本，默认使用版本2，不带长度说明前缀
  2. 默认为0
  3. 时间戳
  4. cookie名
  5. base64编码的cookie值
  6. 签名值，不带长度说明前缀

注意：Tornado的安全cookie只是一定程度的安全，仅仅是增加了恶意修改的难度。Tornado的安全cookies仍然容易被窃听，而cookie值是签名不是加密，攻击者能够读取已存储的cookie值，并且可以传输他们的数据到任意服务器，或者通过发送没有修改的数据给应用伪造请求。因此，避免在浏览器cookie中存储敏感的用户数据是非常重要的。

 

 1 import tornado.web
 2 import tornado.ioloop
 3 import tornado.options
 4 import os
 5 import time
 6 
 7 tornado.options.define('port',type=int,default=8005,help='服务器端口')
 8 
 9 class IndexHandler(tornado.web.RequestHandler):
10     def get(self):
11         # if not self.get_cookie('itcast'):   #获取cookie
12         #     self.set_cookie('itcast', 'abc', expires=time.mktime(time.strptime('2020-04-05 23:59:59', '%Y-%m-%d %H:%M:%S')))  #设置cookie
13         #     # self.set_header('Set-Cookie', 'itcast=abcd')  #设置cookie实际就是通过设置header的Set-Cookie来实现的
14         # else:
15         #     self.clear_cookie('itcast')  #清除cookie
16         # self.write('aaa')
17 
18         #安全cookie
19         count=self.get_secure_cookie('page_count')
20         if not count:
21             self.set_secure_cookie('page_count','1')
22             count=1
23         else:
24             count=int(count)
25             count+=1
26             self.set_secure_cookie('page_count',str(count))
27         self.write(str(count))
28 
29 class Application(tornado.web.Application):
30     def __init__(self,*args,**kwargs):
31         super().__init__(*args,**kwargs)
32 
33 
34 if __name__ == '__main__':
35     tornado.options.parse_command_line()
36 
37     current_path = os.path.dirname(__file__)
38 
39     settings=dict(
40         static_path=os.path.join(current_path,'statics')  #通过向web.Application类的构造函数传递一个名为static_path的参数来告诉Tornado从文件系统的一个特定位置提供静态文件
41         ,template_path=os.path.join(current_path,'templates')
42         ,debug=True
43         #import base64, uuid
44         #base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes)  ----这样得到的cookie_secret的一个值
45         ,cookie_secret='nvgxOcQGREKyKzxs418MOqdHHV9EnE3kuCrTqmgaXtU='   #设置混淆秘钥，安全cookie用到
46     )
47 
48     app=Application(
49         [(r'/',IndexHandler),
50          ]
51         ,**settings)
52 
53     app.listen(tornado.options.options.port)
54     tornado.ioloop.IOLoop().current().start()

 

 签名后的cookie值："2|1:0|10:1586054484|10:page_count|4:MTI=|26dbe390fe8f554921a86bac05a06217073f1af2a81f027cc544fb303054b61a"

posted on 2020-04-05 10:44  cherry_ning  阅读(129)  评论(0)    收藏  举报

导航