概要
cookie不属于http协议范围，由于http协议无法保持状态，但实际情况，我们却又需要“保持状态”，因此cookie就是在这样一个场景下诞生。
cookie的工作原理是：由服务器产生内容，浏览器收到请求后保存在本地；当浏览器再次访问时，浏览器会自动带上cookie，这样服务器就能通过cookie的内容来判断这个是“谁”了。
cookie虽然在一定程度上解决了“保持状态”的需求，但是由于cookie本身最大支持4096字节，以及cookie本身保存在客户端，可能被拦截或窃取，因此就需要有一种新的东西，它能支持更多的字节，并且他保存在服务器，有较高的安全性。这就是session。
问题来了，基于http协议的无状态特征，服务器根本就不知道访问者是“谁”。那么上述的cookie就起到桥接的作用。
我们可以给每个客户端的cookie分配一个唯一的id，这样用户在访问时，通过cookie，服务器就知道来的人是“谁”。然后我们再根据不同的cookie的id，在服务器上保存一段时间的私密资料，如“账号密码”等等。
总结而言：cookie弥补了http无状态的不足，让服务器知道来的人是“谁”；但是cookie以文本的形式保存在本地，自身安全性较差；所以我们就通过cookie识别不同的用户，对应的在session里保存私密的信息以及超过4096字节的文本。
另外，上述所说的cookie和session其实是共通性的东西，不限于语言和框架
引入
前几节的介绍中我们已经有能力制作一个登陆页面，在验证了用户名和密码的正确性后跳转到后台的页面。但是测试后也发现，如果绕过登陆页面。直接输入后台的url地址也可以直接访问的。这个显然是不合理的。其实我们缺失的就是cookie和session配合的验证。有了这个验证过程，我们就可以实现和其他网站一样必须登录才能进入后台页面了。
session和cookie的区别
#cookie:保留在客户端（浏览器)的存放键值对的容器
#session:保留在服务器上面的一个容器
客户端每次发送请求，都会带着自己的cookie
1、浏览器第一次发起GET请求，获得登陆页面，客户端cookie为空
2、用户输入用户名密码，发起POST请求
def login():
1、验证
2、生成sessionid(sessionid:abc123)，放入客户端请求的cookie中，发给浏览器,并为此sessionid设置了自定义的字典 {"abc123":{"is_login":true}
3、记录生成的sessionid和自定义数据存入数据库，用于下次客户端访问时进行身份识别
def index():
1、request.COOKIE["sessionID"] =abc123
2、从数据库中找到对应的sessionid，获取request.session.get("is_login")的值
django实现session-cookie登陆方式
models中创建个用户表：
class UserInfo(models.Model):
name=models.CharField(max_length=32)
pwd=models.CharField(max_length=32)
login.xml
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <form action="/login/" method="post"> {% csrf_token %} <p>用户名<input type="text" name="user"></p> <p>密码<input type="password" name="pwd"></p> <input type="submit"> </form> </body> </html>
index.xml
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <p>hello{{ user }}</p> </body> </html>
view.py
from django.shortcuts import render,redirect # Create your views here. from app01 import models #cookie:保留在客户端（浏览器)的存放键值对的容器 #session:保留在服务器上面的一个容器 def login(request): if request.method=="POST": username=request.POST.get("user") password=request.POST.get("pwd") ret = models.UserInfo.objects.filter(name=username,pwd=password) if ret:#当用户输入正确的用户名密码之后进行生成sessionid request.session["is_login_egon"]=True#给cookie放入session字典 request.session["username"]=username return redirect("/index/")
#obj=redirect("/index/")
#obj.set_session("is_login_egon",true)
#return obj
else: return redirect("/login/") return render(request,"login.html") def index(request): # 如果用户没有登陆过，即django_session表中没有该用户的sessionid，则跳转登陆页面 if not request.session.get("is_login_egon"): return redirect("/login/") user = request.session.get("username") return render(request,"index.html",{"user":user})
1、当用户输入错误用户名密码，需要重新输入页面跳转登陆
2、当用户输入正确用户名密码，生成用户的sessionid给客户端的cookie，并且跳转index.xml
3、当用户没有登陆直接访问index.xml，会跳转到登陆页面，不允许访问
输入正确用户名密码提交
会跳转两次，先在login函数中进行判断生成sessionid，然后跳转页面index函数可以在session表中查到用户的sessionid，允许访问index。
我们清空django_session表中记录，直接访问index.xml
index函数未找到用户登陆信息，跳转登陆页面。
注销功能：注销就是清空对应用户的session表中的记录
# 第一种方式 # del request.session["is_login_egon"] # 第二种方式 request.session.flush()
session的基本操作
1、设置Sessions值
request.session['session_name'] ="admin"
2、获取Sessions值
session_name = request.session["session_name"]
3、删除Sessions值
del request.session["session_name"]
4、检测是否操作session值
if "session_name" is request.session :
5、get(key, default=None)
fav_color = request.session.get('fav_color', 'red')
6、pop(key)
fav_color = request.session.pop('fav_color')
7、keys()
8、items()
9、setdefault()
10、flush() 删除当前的会话数据并删除会话的Cookie。
这用于确保前面的会话数据不可以再次被用户的浏览器访问
例如，django.contrib.auth.logout() 函数中就会调用它。
11 用户session的随机字符串
request.session.session_key
# 将所有Session失效日期小于当前日期的数据删除
request.session.clear_expired()
# 检查 用户session的随机字符串 在数据库中是否
request.session.exists("session_key")
# 删除当前用户的所有Session数据
request.session.delete("session_key")
request.session.set_expiry(value)
* 如果value是个整数，session会在些秒数后失效。
* 如果value是个datatime或timedelta，session就会在这个时间后失效。
* 如果value是0,用户关闭浏览器session就会失效。
* 如果value是None,session会依赖全局session失效策略。
Django实现的COOKIE
获取cookie
request.COOKIES['key'] request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None) #参数： default: 默认值 salt: 加密盐 max_age: 后台控制过期时间
设置Cookie
rep = HttpResponse(...) 或 rep ＝ render(request, ...) 或 rep ＝ redirect()rep.set_cookie(key,value,...)rep.set_signed_cookie(key,value,salt='加密盐',...) 参数：
''' def set_cookie(self, key, 键 value='', 值 max_age=None, 超长时间 expires=None, 超长时间 path='/', Cookie生效的路径， 浏览器只会把cookie回传给带有该路径的页面，这样可以避免将 cookie传给站点中的其他的应用。 / 表示根路径，特殊的：根路径的cookie可以被任何url的页面访问 domain=None, Cookie生效的域名 你可用这个参数来构造一个跨站cookie。 如， domain=".example.com" 所构造的cookie对下面这些站点都是可读的： www.example.com 、 www2.example.com 和an.other.sub.domain.example.com 。 如果该参数设置为 None ，cookie只能由设置它的站点读取。 secure=False, 如果设置为 True ，浏览器将通过HTTPS来回传cookie。 httponly=False 只能http协议传输，无法被JavaScript获取 （不是绝对，底层抓包可以获取到也可以被覆盖） ): pass '''