2. 程式人生 > 實用技巧 >Cookie與Session

Cookie與Session

阿新 • • 發佈：2020-08-08

1. Cookie

1.1 會話追蹤

一次客戶端與服務端之間的會話可能會包含多次請求和響應，而在一個會話的多個請求之間共享資料，這就叫會話跟蹤技術。在web中會話跟蹤的實現要依靠cookie和session。

1.2 cookie的由來

1）保持狀態

HTTP協議是無狀態的，每一次的請求都沒有直接關係，對伺服器來說，每一次的請求都是全新的。

而我們需要保持每次一會話產生的資料（保持狀態），所以就用到了cookie技術。

2）cookie為何物

cookie是伺服器傳送出來儲存在瀏覽器上的一組組鍵值對，下一次訪問伺服器時瀏覽器會自動攜帶這些鍵值對，以讓伺服器提取資訊。

可以用Ctrl + Shift + del三個鍵來清除頁面快取和cookie。

1.3 cookie的原理

1）圖示

  • 瀏覽器訪問服務端時，帶著一個空的cookie，然後由伺服器產生內容，瀏覽器收到響應後儲存在本地；
  • 當瀏覽器再次訪問時，會自動帶上cookie，這樣伺服器就能通過cookie的內容來判斷出客戶端身份了。

2）cookie的規範

  • cookie大小上限為4KB；
  • 一個伺服器最多在客戶端瀏覽器上儲存20個Cookie；
  • 一個瀏覽器最多儲存300個Cookie；

上面是HTTP的Cookie規範，並非絕對法則，各個瀏覽器可能會對Cookie進行擴充套件。

不同的瀏覽器之間是不共享Cookie的。

3）cookie與HTTP頭

Cookie是通過HTTP請求和響應頭在客戶端和伺服器端傳遞的。

  • 請求頭（客戶端傳送給服務端）Cookie：a=xxxx; b=ooo; c=yyyy
    • 多個Cookie用分號隔開
  • 響應頭（服務端傳送給客戶端）Set-Cookie：a=xxx Set-Cookie：b=ooo Set-Cookie：c=yyy
    • 一個Cookie物件用一個Set-Cookie

4）cookie的覆蓋

  • 如果服務端傳送重複的Cookie，那麼會覆蓋原有的Cookie。

2. Django中操作Cookie

2.1 獲取Cookie

request.COOKIES['key']
request.get_signed_cookie(key, default=RAISE_ERROR, salt=''
 
, max_age=None)

引數：

  • default：預設值
  • salt：加密鹽
  • max_age：後臺控制過期時間

2.2 設定Cookie

rep = HttpResponse(...)
rep ＝ render(request, ...)

rep.set_cookie(key,value,...)
rep.set_signed_cookie(key,value,salt='加密鹽', max_age=None, ...)

引數：

  • key：鍵
  • value：值
  • max_age=None
    • 超時時間，單位是秒，預設時長是2周
    • None表示這個cookie會延續到瀏覽器關閉為止
  • expires=None
    • 超時時間(IE requires expires, so set it if hasn't been already.)
    • 值是一個datatime型別的時間日期物件，到這個日期就失效的意思
  • path='/'
    • Cookie生效的路徑
    • 瀏覽器只會把cookie回傳給帶有該路徑的頁面，這樣可以避免將cookie傳給站點中的其他應用
    • / 根路徑的cookie可以被任何url的頁面訪問
  • domain=None
    • Cookie的生效域名，如果設定為None，cookie就只能由設定它的站點讀取
    • 可以用這個引數來構造一個跨站Cookie，如 domain=".example.com"所構造的cookie對它的子域站點都是可讀的
  • secure=False
    • 是否使用https來回傳cookie
  • httponly=False
    • 只能http協議傳輸，無法被JavaScript獲取（可以抓包獲取）

注意：

  • Cookie在設定時不允許出現中文
  • 如果非要設定中文，可以對中文 .encode('utf-8').decode('iso-8859-1')或者直接 json.dumps('傻X')

2.3 刪除Cookie

def logout(request):
    rep = redirect("/login/")
    rep.delete_cookie("user")  # 刪除使用者瀏覽器上之前設定的usercookie值
    return rep

2.4 Cookie登入校驗示例

def check_login(func):
    @wraps(func)
    def inner(request, *args, **kwargs):
        next_url = request.get_full_path()
        if request.get_signed_cookie("login", salt="SSS", default=None) == "yes":
            # 已經登入的使用者...
            return func(request, *args, **kwargs)
        else:
            # 沒有登入的使用者，跳轉剛到登入頁面
            return redirect("/login/?next={}".format(next_url))
    return inner


def login(request):
    if request.method == "POST":
        username = request.POST.get("username")
        passwd = request.POST.get("password")
        if username == "xxx" and passwd == "dashabi":
            next_url = request.GET.get("next")
            if next_url and next_url != "/logout/":
                response = redirect(next_url)
            else:
                response = redirect("/class_list/")
            response.set_signed_cookie("login", "yes", salt="SSS")
            return response
    return render(request, "login.html")

3. Session

3.1 由來

Cookie雖然在一定程度上解決了“保持狀態”的需求，但是由於Cookie本身最大隻支援4096位元組，且Cookie本身儲存在客戶端，可能被攔截或竊取。因此就需要一種新的技術，它能支援更多的位元組，並且它儲存在伺服器端，有較高的安全性。

3.2 Session為何物

Session是服務端的技術，伺服器在執行時為每一個使用者的瀏覽器建立一個其獨享的session物件。

由於session為使用者瀏覽器獨享，所以使用者在訪問伺服器的web資源時，可以把各自的資料放在各自的session中。當用戶再去訪問該伺服器中的其他web資源時，其他web資源再從使用者各自的session中取出資料。

3.3 Session的原理

給每一個Cookie分配一個唯一的id，使用者訪問時，通過Cookie，伺服器就知道來將的身份。然後再根據不同的Cookie的id，在伺服器上儲存一段時間的私密資料（賬號密碼等）。這時Cookie就起到了橋接的作用。

由此，我們通過Cookie來識別不同的使用者，然後在對應的session中儲存私密的資訊。

4. Django中操作session

4.1 Django中Session的方法

# 獲取、設定、刪除Session中資料#取值

# 獲取值
request.session['k1'] 
request.session.get('k1',None) 
# request.session這句是從cookie裡面將sessionid的值取出來
# 將django-session表裡面的對應sessionid的值的那條記錄中的session-data欄位的資料拿出來（並解密）
# get方法就取出k1這個鍵對應的值

# 設定值
request.session['k1'] = 123
request.session.setdefault('k1',123) # 存在則不設定
# 生成隨機字串，將這個隨機字串和使用者資料（加密後）和過期時間儲存到了django-session表裡面
# 將這個隨機字串以sessionid：隨機字串的形式新增到cookie裡面返回給瀏覽器,這個sessionid名字是可以改的
# 注意：django-session表不能通過orm來直接控制，因為models.py裡面沒有這個對應關係

#刪除值
del request.session['k1']  #django-session表裡面同步刪除


# 所有 鍵、值、鍵值對
request.session.keys()
request.session.values()
request.session.items()


# 會話session的key
session_key = request.session.session_key  # 獲取sessionid的值

# 將所有session失效日期小於當前日期的資料刪除，將過期的刪除
request.session.clear_expired()

# 檢查會話session的key在資料庫中是否存在
request.session.exists("session_key") #session_key就是那個sessionid的值

# 刪除當前會話的所有Session資料
request.session.delete()
　　
# 刪除當前的會話資料並刪除會話的Cookie。
request.session.flush()  # 常用，清空所有cookie---刪除session表裡的這個會話的記錄，
# 這用於確保前面的會話資料不可以再次被使用者的瀏覽器訪問
# 例如，django.contrib.auth.logout() 函式中就會呼叫它

# 設定會話Session和Cookie的超時時間
request.session.set_expiry(value)
    # 如果value是個整數，session會在些秒數後失效
    # 如果value是個datatime或timedelta，session就會在這個時間後失效
    # 如果value是0,使用者關閉瀏覽器session就會失效
    # 如果value是None,session會依賴全域性session失效策略

4.2 Session詳細流程解析

4.3 Session版的登入驗證

from functools import wraps
def check_login(func):
    @wraps(func)
    def inner(request, *args, **kwargs):
        next_url = request.get_full_path()
        if request.session.get("user"):
            return func(request, *args, **kwargs)
        else:
            return redirect("/login/?next={}".format(next_url))
    return inner

def login(request):
    if request.method == "POST":
        user = request.POST.get("user")
        pwd = request.POST.get("pwd")

        if user == "alex" and pwd == "alex1234":
            # 設定session
            request.session["user"] = user
            # 獲取跳到登陸頁面之前的URL
            next_url = request.GET.get("next")
            # 如果有，就跳轉回登陸之前的URL
            if next_url:
                return redirect(next_url)
            # 否則預設跳轉到index頁面
            else:
                return redirect("/index/")
    return render(request, "login.html")

@check_login
def logout(request):
    # 刪除所有當前請求相關的session
    request.session.delete()
    return redirect("/login/")

@check_login
def index(request):
    current_user = request.session.get("user", None)
    return render(request, "index.html", {"user": current_user})

注意：

  • 在同一個瀏覽器上，第一個使用者已經登入，當另一個使用者也登入時，會帶著第一個使用者的session_id，但是其他內容都將會覆蓋
  • 一個網站對一個瀏覽器，是一個sessionid，換一個瀏覽器，肯定會生成另外一個sessionid

4.4 Django中Session配置

  • Django中預設支援Session，它內部提供了5中型別的Session
# 1. 資料庫Session
SESSION_ENGINE = 'django.contrib.sessions.backends.db'     # 引擎（預設）

# 2. 快取Session
SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # 引擎
SESSION_CACHE_ALIAS = 'default'                            # 使用的快取別名（預設記憶體快取，也可以是memcache），此處別名依賴快取的設定

# 3. 檔案Session
SESSION_ENGINE = 'django.contrib.sessions.backends.file'   # 引擎
SESSION_FILE_PATH = None                                   # 快取檔案路徑，如果為None，則使用tempfile模組獲取一個臨時地址tempfile.gettempdir() 

# 4. 快取+資料庫
SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db'        # 引擎

# 5. 加密Cookie Session
SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies'   # 引擎

# 其他公用設定項：
SESSION_COOKIE_NAME ＝ "sessionid"                       # Session的cookie儲存在瀏覽器上時的key，即：sessionid＝隨機字串（預設）
SESSION_COOKIE_PATH ＝ "/"                               # Session的cookie儲存的路徑（預設）
SESSION_COOKIE_DOMAIN = None                             # Session的cookie儲存的域名（預設）
SESSION_COOKIE_SECURE = False                            # 是否Https傳輸cookie（預設）
SESSION_COOKIE_HTTPONLY = True                           # 是否Session的cookie只支援http傳輸（預設）
SESSION_COOKIE_AGE = 1209600                             # Session的cookie失效日期（2周）（預設）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False                  # 是否關閉瀏覽器使得Session過期（預設）
SESSION_SAVE_EVERY_REQUEST = False                       # 是否每次請求都儲存Session，預設修改之後才儲存（預設）

相關推薦

Cookie與Session

1. Cookie 1.1 會話追蹤 一次客戶端與服務端之間的會話可能會包含多次請求和響應，而在一個會話的多個請求之間共享資料，這就叫會話跟蹤技術。在web中會話跟蹤的實現要依靠cookie和session。

cookie 與 session

cookie與session cookie與session cookie 服務端儲存在客戶端瀏覽器上的資訊都可以稱之為cookie

Cookie與Session的區別

Cookie與Session的區別 參考： https://www.cnblogs.com/8023-CHD/p/11067141.html 無狀態的HTTP協議

cookie與session的原理及區別

1、cookie使用原理使用者名稱+密碼 cookie是儲存在使用者瀏覽器端，使用者名稱和密碼等明文資訊

cookie與session的原理與區別

1、cookie使用原理使用者名稱+密碼 cookie是儲存在使用者瀏覽器端，使用者名稱和密碼等明文資訊

cookie與session元件

一、 會話跟蹤技術 什麼是會話跟蹤? 我們需要先了解一下什麼是會話！可以把會話理解為客戶端與伺服器之間的一次會晤，在一次會晤中可能會包含多次請求和響應。例如你給10086打個電話，你就是客戶端，而10086服務人員

Cookie 與Session 的區別

1、什麼叫Cookie,什麼叫Session 　　Cookie：Cookie是儲存在瀏覽器端的以鍵值對形式存在的一個臨時的檔案，Cookie預設情況下關閉瀏覽器就銷燬了，實際的作用就是用來儲存一些臨時的資訊。

搞懂cookie 與 session

什麼是cookie Cookie 實際上是一小段的文字資訊，客戶端請求伺服器，如果伺服器需要記錄使用者狀態，就使用response 向客戶端瀏覽器頒發一個Cookie。客戶端瀏覽器會把Cookie 儲存起來，當瀏覽器再請求該網站時，瀏覽

python爬蟲——模擬登入cookie與session

http/https協議特性：無狀態 沒有請求到對應頁面資料的原因： 　　發起的第二次基於個人主頁頁面請求的時候，伺服器端並不知道該此請求是基於登陸狀態下的請求。

php中cookie與session的區別點總結

本教程操作環境：windows7系統、7.1版、DELL G3電腦 無論是在系統運維還是 PHP 開發人員的面試中，經常會被問到 Session 和 Cookie 在 PHP 中的區別？下面我們就來總結一下：

36 django之cookie與session

1 發展史 1.1 網站都沒有儲存使用者功能的需求 所有使用者訪問返回的結果都是一樣的eg: 新聞、部落格、文章...1.2 出現了一些需要儲存使用者資訊的網站eg: 某寶、某東...

Django元件-cookie與session

Django元件-cookie與session 會話跟蹤技術 1 什麼是會話跟蹤技術 我們需要先了解一下什麼是會話！可以把會話理解為客戶端與伺服器之間的一次會晤，在一次會晤中可能會包含多次請求和響應。例如你給10086打個電話，

Django cookie與session，CBV如何新增裝飾器

cookie與session簡介 會話跟蹤技術 什麼是會話跟蹤？ 我們需要先了解一下什麼是會話！可以把會話理解為客戶端與伺服器之間的一次會晤，在一次會晤中可能會包含多次請求和響應。例如你給10086打個電話，你就是客戶端，

Cookie與Session、CBV新增裝飾器

目錄 cookie Cookie的由來 什麼是Cookie Cookie的原理 檢視Cookie Cookie操作 驗證登陸 超時時間

java學習之Cookie與Session

0x00前言 1.會話：一次會話中包含了多次請求和響應 2.功能：一次會話的範圍內的多次請求間，共享資料

forms元件補充與ModelForm簡單使用與cookie與session

目錄 forms元件鉤子函式 forms元件欄位引數 欄位引數 validators詳解 choices詳解 widget詳解

HTTP 狀態管理: cookie 與 session

HTTP最大的缺點：無狀態(記性不太好) 無狀態，每個請求都是獨立的 導致後續請求需要重傳，且需求累增

Node 中 Cookie、Session 與 Redis 快取

HTTP 協議和 TCP/IP 協議組中其它協議相同，用於客戶端和伺服器端之間的通訊，HTTP是一種無狀態協議，協議本身不儲存客戶端和服務端的通訊狀態，也就是說在 HTTP 這個級別不會對請求或響應做持久化處理，當然這也是為

JavaWeb請求與響應 Cookie&Session

1、請求與響應 &Cookie&Session 1.1、請求與響應　　 　HTTP協議 　概念：英文全稱：HyperText Transfer Protocol 中文全稱：超文字傳輸協議

Session、Cookie與Token

http協議是無狀態協議 協議是指計算機通訊網路中兩臺計算機之間進行通訊所必須共同遵守的規定或規則，超文字傳輸協議(HTTP)是一種通訊協議，它允許將超文字標記語言(HTML)文件從Web伺服器傳送到客戶端的瀏覽器。