python开发之Django（三）

一、ORM操作多对多

1. 创建表

# 方法一：自己创建第三张表Love
class Boy(models.Model):
    name = models.CharField(max_length=32)

class Girl(models.Model):
    nick = models.CharField(max_length=32)

class Love(models.Model):
    b = models.ForeignKey('Boy',on_delete=models.CASCADE,)
    g = models.ForeignKey('Girl',on_delete=models.CASCADE,)

# 方法二：用 ManyToMany 创建关系表(只能生成三列，不能自己添加)
#        会自动创建第三张 Boy和 Girl 的关系表

# 在Boy类下面加上这句：
    m = models.ManyToManyField('Girl')
# 或在Girl类下面加上这句：
    g = models.ManyToManyField('Boy')

# 方法三：把自动创建的和手动创建的Love弄成一张表
    m = models.ManyToManyField('Girl',through="Love",through_fields=('b','g',))

2. 查询

查询和某boy有关系的girl：（手动创建Love表的方式）

# 方法一：
    obj = models.Boy.objects.filter(name='银灰').first()
    love_list = obj.love_set.all()
    for row in love_list:
        print(row.g.nick)

# 方法二：
    love_list = models.Love.objects.filter(b__name='银灰')
    for row in love_list:
        print(row.g.nick)

# 方法三：
    love_list = models.Love.objects.filter(b__name='银灰').values('g__nick')
    for item in love_list:
        print(item['g__nick'])

# 方法四：
    love_list = models.Love.objects.filter(b__name='银灰').select_related('g')
    for obj in love_list:
        print(obj.g.nick)

还可以在手动创建的第三张表中设置related_query_name或related_name，用于反向查找别名替换：

class Love(models.Model):
    g = models.ForeignKey('UserInfo',related_name='boys',on_delete=models.CASCADE)
    b = models.ForeignKey('UserInfo',related_name='girls',on_delete=models.CASCADE)

设置 related_name=‘xxx’ 后，反向查询时不用表名_set，直接 xxx 就可以；如果是related_query_name=‘xxx’，反向查找时是xxx_set 。

ManyToManyField自动生成第三张表后可使用的操作：

obj = models.Boy.objects.filter(name='银灰').first()
obj.m.add(2)
obj.m.add(3,4)
obj.m.add(*[1,])
obj.m.remove(1)
obj.m.remove(1,2)
obj.m.remove(*[3,4])
obj.m.set([1,3,4])  # 重置
obj.m.clear()

查询和某boy有关系的girl：（通过ManyToManyField的方式）

# Boy里有ManyToManyField, 通过Boy查Girl就是多对多的正向查询
obj = models.Boy.objects.filter(name='银灰').first()
girl_list = obj.m.all()
print(girl_list)
girl_list = obj.m.filter(nick='阿能')
print(girl_list)

# Girl里没有ManyToManyField, 通过Girl查Boy就是多对多的反向查询
obj = models.Girl.objects.filter(nick='阿能').first()
boy_list = obj.boy_set.all()
print(boy_list)

3. 自关联

3.1 ManyToMany自关联

class UserInfo(models.Model):
    nickname = models.CharField(max_length=32)
    username = models.CharField(max_length=32)
    password = models.CharField(max_length=64)
    gender_choices = (
        (1,'男'),
        (2,'女'),
    )
    gender = models.IntegerField(choices=gender_choices)
    # 多对多自关联：在UserInfo下面ManyToMany了UserInfo自己
    m = models.ManyToManyField('UserInfo')

上述代码会自动创建出这样的表结构：
from_userinfo_id为前列，to_userinfo_id为后列：

ManyToMany自关联查询：

# 通过男生查关联的女生(前列查后列)
yh = models.UserInfo.objects.filter(id=1).first()
u = yh.m.all()
for row in u:
	print(row.nickname)
	
# 通过女生查关联的男生(后列查前列)
an = models.UserInfo.objects.filter(id=4).first()
v = an.userinfo_set.all()
for row in v:
	print(row.nickname)

3.2 ForeignKey自关联

class Comment(models.Model):
    news_id = models.IntegerField()
    content = models.CharField(max_length=32)
    user = models.CharField(max_length=32)
    # ForeignKey自关联：在Comment下面ForeignKey了Comment自己
    reply = models.ForeignKey('comment',null=True,blank=True,related_name='xxx')

二、XSS攻击

类似这样的代码<script>alert(123)</script>，在前端显示时，正常情况下若不修改Django设置，就不会被XSS攻击，也就是这串代码以字符串显示。

如果想让这串代码在网页出现alert一个123的效果，有两种方法：

• （1）在前端自己加上 |safe
• （2）在后端导入mark_safe模块之后mark_safe这串代码

但是，加safe时一定要小心！如果是可让用户填写的地方尽量不要加safe，要加就得在后端进行判断，把特殊字符过滤掉，只把安全的内容返回给前端。

三、跨站请求伪造

• django为用户实现防止跨站请求伪造的功能，通过中间件django.middleware.csrf.CsrfViewMiddleware来完成。
• CSRF是为了防止跨站请求伪造，通俗点说，就是用户在访问某网站时(GET请求)，该网站生成一个随机字符串，用户在提交数据时(POST请求)会带着这个随机字符串一并提交，如果和网站生成的随机字符串相同，才执行操作。
• 要做csrf验证，就在form表单加上{% csrf_token %}。
• jQuery.cookie 插件可以方便我们获取到cookie里的csrf_token，没有这个插件就需要用原生的方法获取到csrf_token的字符串，类似这样“csrf_token=jfieo53hwnjfklhnwoeutgh”，然后手动split拿到等号后面的值。

django中设置防跨站请求伪造功能有分为全局和局部：

1. 全部禁用：注释掉中间件 ‘django.middleware.csrf.CsrfViewMiddleware’,
2. 局部禁用：使用中间件，只在不想做验证的函数上面加@csrf_exempt，该函数则不需要csrf验证。需要导入from django.views.decorators.csrf import csrf_exempt
3. 局部使用：注释掉中间件，只在想做验证的函数上面加@csrf_protect，该函数则需要csrf验证。需要导入from django.views.decorators.csrf import csrf_protect

四、CBV下的CSRF验证

1. 只能在类上添加装饰器，不能在单独方法上添加

from django.views import View
from django.utils.decorators import method_decorator

@method_decorator(csrf_protect,name='dispatch')
class Foo(View):
    def get(self,request):
        pass
    def post(self,request):
        pass

2. CBV中添加装饰器

from django.utils.decorators import method_decorator

    def wrapper(func):   # 装饰器
        def inner(*args,**kwargs):
            return func(*args,**kwargs)
        return inner
        
# 1.在指定方法上添加装饰器：
    class Foo(View):
        @method_decorator(wrapper)
        def get(self, request):
            pass
        def post(self, request):
            pass
            
# 2. 在类上添加：
    @method_decorator(wrapper,name='dispatch') # 表示给所有方法添加装饰器
    @method_decorator(wrapper,name='get') # 表示只给get方法添加装饰器
    class Foo(View):
        def get(self, request):
            pass
        def post(self, request):
            pass

五、cookie

1、获取Cookie：

request.COOKIES['key']
request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None)
    参数：
        default: 默认值
           salt: 加密盐
        max_age: 后台控制过期时间

2、设置Cookie：

rep = HttpResponse(...) 或 rep ＝ render(request, ...)
 
rep.set_cookie(key,value,...)
rep.set_signed_cookie(key,value,salt='加密盐',...)
    参数：
        key,              键
        value='',         值
        max_age=None,     超时时间
        expires=None,     超时时间(IE requires expires, so set it if hasn't been already.)
        path='/',         Cookie生效的路径，/ 表示根路径，特殊的：跟路径的cookie可以被任何url的页面访问
        domain=None,      Cookie生效的域名
        secure=False,     https传输
        httponly=False    只能http协议传输，无法被JavaScript获取（不是绝对，底层抓包可以获取到也可以被覆盖）

由于cookie保存在客户端的电脑上，所以，JavaScript和jquery也可以操作cookie：

<script src='/static/js/jquery.cookie.js'></script>
$.cookie("list_pager_num", 30,{ path: '/' });

六、Session

cookie是保存在客户端浏览器上的键值对；
session是保存在服务端的数据(本质是键值对)，其应用依赖cookie，作用是保持会话(web网站)。

Django中默认支持Session，其内部提供了5种类型的Session供开发者使用：

1. 数据库（默认）
2. 缓存
3. 文件
4. 缓存+数据库
5. 加密cookie

1. 数据库Session(常用)

Django默认支持Session，并且默认是将Session数据存储在数据库中，即：django_session 表中。
 
a. 配置 settings.py
 
    SESSION_ENGINE = 'django.contrib.sessions.backends.db'   # 引擎（默认）
     
    SESSION_COOKIE_NAME ＝ "sessionid"                       # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）
    SESSION_COOKIE_PATH ＝ "/"                               # Session的cookie保存的路径（默认）
    SESSION_COOKIE_DOMAIN = None                             # Session的cookie保存的域名（默认）
    SESSION_COOKIE_SECURE = False                            # 是否Https传输cookie（默认）
    SESSION_COOKIE_HTTPONLY = True                           # 是否Session的cookie只支持http传输（默认）
    SESSION_COOKIE_AGE = 1209600                             # Session的cookie失效日期（2周）（默认）
    SESSION_EXPIRE_AT_BROWSER_CLOSE = False                  # 是否关闭浏览器使得Session过期（默认）
    SESSION_SAVE_EVERY_REQUEST = False                       # 是否每次请求都保存Session，默认修改之后才保存（默认）
  
b. 使用
 
    def index(request):
        # 获取、设置、删除Session中数据
        request.session['k1']
        request.session.get('k1',None)
        request.session['k1'] = 123
        request.session.setdefault('k1',123) # 存在则不设置
        del request.session['k1']
 
        # 所有 键、值、键值对
        request.session.keys()
        request.session.values()
        request.session.items()
        request.session.iterkeys()
        request.session.itervalues()
        request.session.iteritems()
 
        # 用户session的随机字符串
        request.session.session_key
 
        # 将所有Session失效日期小于当前日期的数据删除
        request.session.clear_expired()
 
        # 检查 用户session的随机字符串 在数据库中是否
        request.session.exists("session_key")
 
        # 删除当前用户的所有Session数据
        request.session.delete("session_key")
 
        request.session.set_expiry(value)
            * 如果value是个整数，session会在些秒数后失效。
            * 如果value是个datatime或timedelta，session就会在这个时间后失效。
            * 如果value是0,用户关闭浏览器session就会失效。
            * 如果value是None,session会依赖全局session失效策略。

2. 缓存Session(常用)

a. 配置 settings.py
 
    SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # 引擎
    SESSION_CACHE_ALIAS = 'default'                            # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置

    SESSION_COOKIE_NAME ＝ "sessionid"                        # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串
    SESSION_COOKIE_PATH ＝ "/"                                # Session的cookie保存的路径
    SESSION_COOKIE_DOMAIN = None                              # Session的cookie保存的域名
    SESSION_COOKIE_SECURE = False                             # 是否Https传输cookie
    SESSION_COOKIE_HTTPONLY = True                            # 是否Session的cookie只支持http传输
    SESSION_COOKIE_AGE = 1209600                              # Session的cookie失效日期（2周）
    SESSION_EXPIRE_AT_BROWSER_CLOSE = False                   # 是否关闭浏览器使得Session过期
    SESSION_SAVE_EVERY_REQUEST = False                        # 是否每次请求都保存Session，默认修改之后才保存
 
b. 使用
       同上

3. 文件Session

a. 配置 settings.py
 
    SESSION_ENGINE = 'django.contrib.sessions.backends.file'    # 引擎
    SESSION_FILE_PATH = None                                    # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir()                                                            # 如：/var/folders/d3/j9tj0gz93dg06bmwxmhh6_xm0000gn/T
 
    SESSION_COOKIE_NAME ＝ "sessionid"                          # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串
    SESSION_COOKIE_PATH ＝ "/"                                  # Session的cookie保存的路径
    SESSION_COOKIE_DOMAIN = None                                # Session的cookie保存的域名
    SESSION_COOKIE_SECURE = False                               # 是否Https传输cookie
    SESSION_COOKIE_HTTPONLY = True                              # 是否Session的cookie只支持http传输
    SESSION_COOKIE_AGE = 1209600                                # Session的cookie失效日期（2周）
    SESSION_EXPIRE_AT_BROWSER_CLOSE = False                     # 是否关闭浏览器使得Session过期
    SESSION_SAVE_EVERY_REQUEST = False                          # 是否每次请求都保存Session，默认修改之后才保存
 
b. 使用
       同上

4. 缓存+数据库Session

数据库用于做持久化，缓存用于提高效率
 
a. 配置 settings.py
    SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db'        # 引擎
 
b. 使用
       同上

5. 加密cookie Session

a. 配置 settings.py 
    SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies'   # 引擎
 
b. 使用
       同上

eg：Session用户验证

def login(request):
    if request.method == 'GET':
        return render(request,'login.html')
    else:
        u = request.POST.get('user')
        p = request.POST.get('pwd')
        obj = models.UserAdmin.objects.filter(username=u,password=p).first()
        if obj:
            # 内部原理：
            # 1.生成随机字符串
            # 2.通过cookie发送给客户端
            # 3.服务端保存随机字符串
            request.session['username'] = obj.username
            return redirect('/index/')
        else:
            return render(request,'login.html',{'msg':'用户名或密码错误'})

def index(request):
    # 内部原理：
    # 1.获取客户端cookie中的随机字符串
    # 2.去session中查找有没有随机字符串
    # 3.去session对应key的value中查看是否有username
    # 浏览器检查-network-cookie里的sessionid和服务端db的django_session里的随机字符串相同
    v = request.session.get('username')
    if v:
        return HttpResponse('登录成功：%s' %v)
    else:
        return redirect('/login/')

七、中间件

• django中的中间件（middleware），在django中，中间件其实就是一个类，在请求到来和结束后，django会根据自己的规则在合适的时机执行中间件中相应的方法。

• 在django项目的settings模块中，有一个 MIDDLEWARE_CLASSES 变量，其中每一个元素就是一个中间件。

• 中间件中可以定义5个方法，分别是：

  1. process_request(self,request)
  2. process_view(self, request, callback, callback_args, callback_kwargs)
  3. process_template_response(self,request,response)
  4. process_exception(self, request, exception)
  5. process_response(self, request, response)

  以上方法的返回值可以是None和HttpResonse对象，如果是None，则继续按照django定义的规则向下执行，如果是HttpResonse对象，则直接将该对象返回给用户。

自定义中间件

1、创建中间件类

class RequestExeute(object):
    def process_request(self,request):
        pass
    def process_view(self, request, callback, callback_args, callback_kwargs):
        i =1
        pass
    def process_exception(self, request, exception):
        pass
    def process_response(self, request, response):
        return response

2、注册中间件

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'm1.Middle1',
    'm1.Middle2',
]

例：

from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import HttpResponse

class Middle1(MiddlewareMixin):
    # process_request 不需要返回值
    def process_request(self,request):
        print('m1.process_request')
        # return HttpResponse('不再往下走了')

    # process_response 必须有返回值
    def process_response(self,request,response):
        print('m1.process_response')
        return response

class Middle2(MiddlewareMixin):
    def process_request(self,request):
        print('m2.process_request')
        # return HttpResponse('不再往下走了')
    def process_response(self,request,response):
        print('m2.process_response')
        return response

上例的中间件的方法执行流程为：

Django生命周期：（此图不够准确，中间件也属于Django的一部分）

Django有错误，触发异常的情况下，生命周期如下图：（两道闪电）

补充：事实上，用户和Django之间还有一个WSGI，用户请求先到WSGI再到Django，之后从Django经过WSGI返回给用户。具体流程是：请求先经过WSGI，然后到中间件—>路由系统—>视图函数，视图函数去models通过ORM操作从数据库取数据返回给视图，并经过templates模板渲染，最后把结果返回给视图—>中间件—>WSGI—>用户。

==================================================================
参考文献：
https://www.cnblogs.com/wupeiqi/articles/5246483.html
https://www.cnblogs.com/wupeiqi/articles/5237704.html

本篇涉及代码见Django_lesson —> bS4day71, bS4day74, bS4day75