深入探究Django中的Session与Cookie


Posted in Python onJuly 30, 2017

前言

Cookie和Session相信对大家来说并不陌生,简单来说,Cookie和Session都是为了记录用户相关信息的方式,最大的区别就是Cookie在客户端记录而Session在服务端记录内容。

那么Cookie和Session之间的联系是怎么建立的呢?换言之,当服务器接收到一个请求时候,根据什么来判断读取哪个Session的呢?

对于Django默认情况来说,当用户登录后就可以发现Cookie里有一个sessionid的字段,根据这个key就可以取得在服务器端记录的详细内容。如果将这个字段删除,刷新页面就会发现变成未登录状态了。

对于Session的处理主要在源码django/contrib/sessions/middleware.py中,如下所示:

import time
from importlib import import_module
from django.conf import settings
from django.contrib.sessions.backends.base import UpdateError
from django.core.exceptions import SuspiciousOperation
from django.utils.cache import patch_vary_headers
from django.utils.deprecation import MiddlewareMixin
from django.utils.http import cookie_date
class SessionMiddleware(MiddlewareMixin):
 def __init__(self, get_response=None):
  self.get_response = get_response
  engine = import_module(settings.SESSION_ENGINE)
  self.SessionStore = engine.SessionStore
 def process_request(self, request):
  session_key = request.COOKIES.get(settings.SESSION_COOKIE_NAME)
  request.session = self.SessionStore(session_key)
 def process_response(self, request, response):
  """
  If request.session was modified, or if the configuration is to save the
  session every time, save the changes and set a session cookie or delete
  the session cookie if the session has been emptied.
  """
  try:
   accessed = request.session.accessed
   modified = request.session.modified
   empty = request.session.is_empty()
  except AttributeError:
   pass
  else:
   # First check if we need to delete this cookie.
   # The session should be deleted only if the session is entirely empty
   if settings.SESSION_COOKIE_NAME in request.COOKIES and empty:
    response.delete_cookie(
     settings.SESSION_COOKIE_NAME,
     path=settings.SESSION_COOKIE_PATH,
     domain=settings.SESSION_COOKIE_DOMAIN,
    )
   else:
    if accessed:
     patch_vary_headers(response, ('Cookie',))
    if (modified or settings.SESSION_SAVE_EVERY_REQUEST) and not empty:
     if request.session.get_expire_at_browser_close():
      max_age = None
      expires = None
     else:
      max_age = request.session.get_expiry_age()
      expires_time = time.time() + max_age
      expires = cookie_date(expires_time)
     # Save the session data and refresh the client cookie.
     # Skip session save for 500 responses, refs #3881.
     if response.status_code != 500:
      try:
       request.session.save()
      except UpdateError:
       raise SuspiciousOperation(
        "The request's session was deleted before the "
        "request completed. The user may have logged "
        "out in a concurrent request, for example."
       )
      response.set_cookie(
       settings.SESSION_COOKIE_NAME,
       request.session.session_key, max_age=max_age,
       expires=expires, domain=settings.SESSION_COOKIE_DOMAIN,
       path=settings.SESSION_COOKIE_PATH,
       secure=settings.SESSION_COOKIE_SECURE or None,
       httponly=settings.SESSION_COOKIE_HTTPONLY or None,
      )
  return response

当接收到一个请求时候,先在Cookie里取出key,然后根据key创建Session对象,在response时候判断是否要删除或者修改sessionid。

也就是说,Django中如果客户把浏览器Cookie禁用后,用户相关的功能就全都失效了,因为服务端根本没法知道当前用户是谁。

对于这种情况,关键点就是如何把sessionid不使用Cookie传递给客户端,常见的比如放在URL中,也就是URL重写技术。想实现这点可以自己写Middleware。不过django并不建议这么做:

The Django sessions framework is entirely, and solely, cookie-based. It does not fall back to putting session IDs in URLs as a last resort, as PHP does. This is an intentional design decision. Not only does that behavior make URLs ugly, it makes your site vulnerable to session-ID theft via the “Referer” header.

总结

以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作能带来一定的帮助,如果有疑问大家可以留言交流,谢谢大家对三水点靠木的支持

Python 相关文章推荐
Python读写Excel文件的实例
Nov 01 Python
Python subprocess模块详细解读
Jan 29 Python
python 爬虫 批量获取代理ip的实例代码
May 22 Python
Opencv+Python 色彩通道拆分及合并的示例
Dec 08 Python
Python3实现对列表按元组指定列进行排序的方法分析
Dec 22 Python
spark dataframe 将一列展开,把该列所有值都变成新列的方法
Jan 29 Python
Python3.6+Django2.0以上 xadmin站点的配置和使用教程图解
Jun 04 Python
python 控制Asterisk AMI接口外呼电话的例子
Aug 08 Python
在Python中通过threshold创建mask方式
Feb 19 Python
python 中yaml文件用法大全
Jul 04 Python
Python中tqdm的使用和例子
Sep 23 Python
Python TypeError: ‘float‘ object is not subscriptable错误解决
Dec 24 Python
python中numpy包使用教程之数组和相关操作详解
Jul 30 #Python
利用Python批量压缩png方法实例(支持过滤个别文件与文件夹)
Jul 30 #Python
Python利用BeautifulSoup解析Html的方法示例
Jul 30 #Python
利用python获取当前日期前后N天或N月日期的方法示例
Jul 30 #Python
Python 装饰器使用详解
Jul 29 #Python
python实现数据图表
Jul 29 #Python
基于Python的XSS测试工具XSStrike使用方法
Jul 29 #Python
You might like
实现树状结构的两种方法
2006/10/09 PHP
PHP中开启gzip压缩的2种方法
2015/01/31 PHP
PHP动态柱状图实现方法
2015/03/30 PHP
php中str_pad()函数用法分析
2017/03/28 PHP
Laravel5.1 框架路由基础详解
2020/01/04 PHP
php解析非标准json、非规范json的方式实例
2020/12/10 PHP
jQuery 获取对象 基本选择与层级
2010/05/31 Javascript
JS父页面与子页面相互传值方法
2014/03/05 Javascript
js点击列表文字对应该行显示背景颜色的实现代码
2015/08/05 Javascript
JS实现可调整倒计时间代码分享
2015/08/18 Javascript
详解vue-cli + webpack 多页面实例应用
2017/04/25 Javascript
jquery在启动页面时,自动加载数据的实例
2018/01/22 jQuery
详解性能更优越的小程序图片懒加载方式
2018/07/18 Javascript
在Bootstrap开发框架中使用dataTable直接录入表格行数据的方法
2018/10/25 Javascript
在Vue中用canvas实现二维码和图片合成海报的方法
2019/06/10 Javascript
NUXT SSR初级入门笔记(小结)
2019/12/16 Javascript
JS实现小星星特效
2019/12/24 Javascript
js实现简单的轮播图效果
2020/12/13 Javascript
Python入门教程之if语句的用法
2015/05/14 Python
Ubuntu下安装PyV8
2016/03/13 Python
利用Python开发实现简单的记事本
2016/11/15 Python
Python实现获取汉字偏旁部首的方法示例【测试可用】
2018/12/18 Python
Python守护进程实现过程详解
2020/02/10 Python
PyTorch预训练Bert模型的示例
2020/11/17 Python
使用纯 CSS 创作一个脉动 loader效果的源码
2018/09/28 HTML / CSS
美国在线宠物商店:Chewy
2019/01/12 全球购物
会计专业自我鉴定范文
2013/10/06 职场文书
会计毕业生自我鉴定
2013/11/04 职场文书
销售工作岗位职责
2013/12/24 职场文书
法律进企业活动方案
2014/03/04 职场文书
交通事故协议书范文
2014/04/16 职场文书
2014年团队工作总结
2014/11/24 职场文书
感恩节寄语2015
2015/03/24 职场文书
2015年财务个人工作总结范文
2015/05/22 职场文书
大学生学习十八届五中全会精神心得体会
2016/01/05 职场文书
在 SQL 语句中处理 NULL 值的方法
2021/06/07 SQL Server