Django中的cookies和session

0,cookie和session存在的意义

HTTP被设计为”无状态”，每次请求都处于相同的空间中。 在一次请求和下一次请求之间没有任何状态保持，我们无法根据请求的任何方面(IP地址，用户代理等)来识别来自同一人的连续请求。服务器会生成两份相同的cookie字符串，一份保存在本地，一份发向请求的浏览器。浏览器将收到的cookie字符串保存下来，当下次再发请求时，会将信息与这段cookie一同发送到服务器，服务器得到这段cookie会与本地保存的那份判断是否相同，如果相同就表示用户已经登录成功，保存用户登录成功的状态。Django的session保存在数据库中的数据相当于一个大字典，key为cookie的字符串，value仍是一个字典，字典的key和value为用户设置的相关信息。这样就可以方便的存取session里面的信息。

1,cookie和session的区别

一般来说,cookie保存在浏览器的某个缓存文件中,而session一般保存在服务器(flask的session也保存在客户端,目的是为了减小服务器的压力).

2,当cookie被禁用后,服务端还能获取到用户的相关信息吗?

答案是可以的,因为浏览器可以通过url后面的参数来传递

Cookie

Cookie，有时也用其复数形式Cookies，指某些网站为了辨别用户身份、进行session跟踪而储存在用户本地终端上的数据（通常经过加密）。Cookie最早是网景公司的前雇员Lou Montulli在1993年3月的发明。Cookie是由服务器端生成，发送给User-Agent（一般是浏览器），浏览器会将Cookie的key/value保存到某个目录下的文本文件内，下次请求同一网站时就发送该Cookie给服务器（前提是浏览器设置为启用cookie）。Cookie名称和值可以由服务器端开发自己定义，这样服务器可以知道该用户是否是合法用户以及是否需要重新登录等。服务器可以利用Cookies包含信息的任意性来筛选并经常性维护这些信息，以判断在HTTP传输中的状态。Cookies最典型记住用户名。

Cookie是存储在浏览器中的一段纯文本信息，建议不要存储敏感信息如密码，因为电脑上的浏览器可能被其它人使用。

Cookie的特点

• Cookie以键值对的格式进行信息的存储。
• Cookie基于域名安全，不同域名的Cookie是不能互相访问的，如访问qq.com时向浏览器中写了Cookie信息，使用同一浏览器访问baidu.com时，无法访问到qq.com写的Cookie信息。
• 当浏览器请求某网站时，会将浏览器存储的跟网站相关的所有Cookie信息提交给网站服务器。

1 设置Cookie

可以通过HttpResponse对象中的set_cookie方法来设置cookie。

HttpResponse.set_cookie(cookie名, value=cookie值, max_age=cookie有效期)

• max_age 单位为秒，默认为None。如果是临时cookie，可将max_age设置为None。

示例：

def demo_view(request):
    response = HttpResponse('ok')
    response.set_cookie('cookies1', 'python1')  # 临时cookie
    response.set_cookie('cookies2', 'python2', max_age=3600)  # 有效期一小时
    return response

2 读取Cookie

可以通过HttpRequest对象的COOKIES属性来读取本次请求携带的cookie值。request.COOKIES为字典类型。

def demo_view(request):
    cookie1 = request.COOKIES.get('cookies1')
    print(cookie1)
    return HttpResponse('OK')

Session

1 启用Session

Session依赖于Cookie，如果浏览器不能保存cooki那么session就失效了。因为它需要浏览器的cooki值去session里做对比。session就是用来在服务器端保存用户的会话状态。

Django项目默认启用Session。可以在settings.py文件中的MIDDLEWARE中间件()列表中查看.如需禁用session，session中间件注释掉即可。

2 存储方式

在settings.py文件中，可以设置session数据的存储方式，可以保存在数据库、本地缓存等。

2.1 数据库

存储在数据库中，如下设置可以写，也可以不写，这是默认存储方式。

SESSION_ENGINE='django.contrib.sessions.backends.db'

如果存储在数据库中，需要在项INSTALLED_APPS中安装Session应用。

2.2 本地缓存

存储在本机内存中，如果丢失则不能找回，比数据库的方式读写更快。

SESSION_ENGINE='django.contrib.sessions.backends.cache'

2.3 混合存储

优先从本机内存中存取，如果没有则从数据库中存取。

SESSION_ENGINE='django.contrib.sessions.backends.cached_db'

2.4 Redis

在redis中保存session，需要引入第三方扩展，我们可以使用django-redis来解决。

1） 安装扩展

pip install django-redis

2）配置

在settings.py文件中做如下设置

CACHES = {
    "default": {
        "BACKEND": "django_redis.cache.RedisCache",
        "LOCATION": "redis://127.0.0.1:6379/1",
        "OPTIONS": {
            "CLIENT_CLASS": "django_redis.client.DefaultClient",
        }
    }
}
SESSION_ENGINE = "django.contrib.sessions.backends.cache"
SESSION_CACHE_ALIAS = "default"

注意

如果redis的ip地址不是本地回环127.0.0.1，而是其他地址，访问Django时，可能出现Redis连接错误.

解决方法：

修改redis的配置文件，添加特定ip地址。

打开redis的配置文件

sudo vim /etc/redis/redis.conf

在如下配置项进行修改（如要添加bind 192.168.1.101地址）

重新启动redis服务 sudo service redis-server restart

还有一点，在django处理请求的过程中，需要经过中间件的过滤，涉及到跨站请求伪造csrf时，django会把请求阻止过滤掉，所以我们要在setting.py中禁用跨站请求伪造的中间件，如果不禁用，记得好像会报一个403的错误黄页.

3 Session操作

通过HttpRequest对象的session属性进行会话的读写操作。

1） 以键值对的格式写session。

request.session['键']=值

2）根据键读取值。

request.session.get('键',默认值)

3）清除所有session，在存储中删除值部分。

request.session.clear()

4）清除session数据，在存储中删除session的整条数据。

request.session.flush()

5）删除session中的指定键及值，在存储中只删除某个键及对应的值。

del request.session['键']

6）设置session的有效期

request.session.set_expiry(value)

• 如果value是一个整数，session将在value秒没有活动后过期。
• 如果value为0，那么用户session的Cookie将在用户的浏览器关闭时过期。
• 如果value为None，那么session有效期将采用系统默认值，默认为两周，可以通过在settings.py中设置SESSION_COOKIE_AGE来设置全局默认值。

关于过期时间

cookie可以有过期时间，这样浏览器就知道什么时候可以删除cookie了。 如果cookie没有设置过期时间，当用户关闭浏览器的时候，cookie就自动过期了。 你可以改变 SESSION_EXPIRE_AT_BROWSER_CLOSE 的设置来控制session框架的这一行为。缺省情况下， SESSION_EXPIRE_AT_BROWSER_CLOSE 设置为 False ，这样，会话cookie可以在用户浏览器中保持有效达 SESSION_COOKIE_AGE 秒（缺省设置是两周，即1,209,600 秒）。 如果你不想用户每次打开浏览器都必须重新登陆的话，用这个参数来帮你。如果 SESSION_EXPIRE_AT_BROWSER_CLOSE 设置为 True ，当浏览器关闭时，Django会使cookie失效。