Django中的Cookie、Session、Token

本文深入探讨了Cookie、Session和JWT在用户身份验证及会话管理中的作用,对比了它们的工作原理、优缺点及应用场景,特别介绍了JWT在Django框架中的实现与配置。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

Cookie指望着为了辨别用户身份、进行会话跟踪而存储在用户本地的数据(通常经过加密),是由服务端生成,发送给客户端浏览器,浏览器会将Cookie以key/value保存,下一请求同一网站是就发送该Cookie给服务器

Django中写cookie:  response.set_cookie(键,值,max_age=秒), 默认浏览器关闭过期
    
Django读cookie:  request.COOKIE.get(键) 

Session:客户端在服务器上的身份标识,是一种无状态的持久机制,需要存储空间的,session是依赖于Cookie存在的,以鉴值对的格式保存在服务器上,内容会被加密

保存方式: 

 1.关系型数据库

 2.缓存———》本地内存,常用的有redis

在Django中操作session,保存在redis中的简单步骤
        1.配置setting.py
        2.写:request.session[键]=3.读:request.session.get(键)

sesion的保存和获取流程图

第一步: 浏览器访问A网站====>1.服务器端首次写入session,如session["name"] = "AAA"
                                                   2.服务器端生成唯一标识符(随机字符串)
                                                   3.服务器端向redis中保存=====>格式:键值对
                                                                   键:唯一标识符
                                                                   值:加密的字典:{"name":"AAA"} # 在redis中保存的键值对并不是name:AAA
        
                                                   4.服务器端将唯一标识符保存到cookie中===>格式:键值对
                                                                                                键:session_id
                                                                                                值:唯一标识符(如图所示)
                                                                            
                                                   5.到此就能保存每个用户的浏览器保存的session信息都不一样
                                
第二步:  浏览器保存服务器返回的cookie信息
        
第三步:  当用户再次访问该网站时,浏览器自动携带所有相关的cookie信息(包括session_id)
            ====>1.服务器读取cookie,从中获取到session_id
                       2.根据session_id获取对应的唯一标识符
                       3.通过唯一标识符,作为键 ,去redis中获取对应的值(加密的字典{"name":"ywk"})
                       4.解密字典,获取session真正的信息

JWT : 在用户注册或登录后,我们想记录用户的登录状态,或者为用户创建身份认证的凭证。我们不再使用Session认证机制,而使用Json Web Token认证机制

为什么使用JWT:

由于Http协议是一种无状态的协议,若用户向我们的应用提供了用户名和密码进行用户认证,那下一次请求时,用户需要再一次进行用户认证,因为http协议,并不能知道是哪个用户发出的请求,为了让应用能识别是哪个用户发出的请求,只能在服务器存储一份用户登录的信息,这份登录信息会在响应时传递给浏览器,告诉其保存为cookie,以便下次请求时用户访问应用时能识别请求来自哪个用户,这就是为什么使用session认证

但是由于不同客户端的增加,独立的服务器会无法承载更多的用户,使用session会暴露更多的问题,例如

扩展性:用户认证之后,服务端做认证记录,记录会保存在内存中,用户下次请求时就必须在这台服务器上才能拿到授权的资源,这样在分布式的应用上,限制了负载均衡器的能力,也限制了应用的扩展能力

CSRF:跨域请求伪造,截获浏览器上的cookie,发送恶意请求

这时候就需要使用token的鉴权机制了

Token:服务端生成的一串字符串,有唯一标识。是用户第一次登陆后,服务器生成一个token并将此token返回给客户端,以后客户端再次请求数据时只需要带上这个token,不需要再次带上用户名和密码

流程:

  1.用户使用用户名和密码请求服务器

  2.服务器进行验证用户的信息

  3.服务器通过验证发送给用户一个token  

  4.客户端存储token,并在每次请求是附送这个token值  

  5.服务端验证token,并返回数据

JWT的构成头部(headler)载荷(payload)签证(signature),头部是使用 HMAC SHA256的算法加密,剩下2个是使用base64的算法加密

JWT的使用:在Django中使用Django REST framework JWT扩展来完成。

      文档网站:http://getblimp.github.io/django-rest-framework-jwt/

使用步骤:

1. 安装:

 

pip install djangorestframework-jwt

 

2. 配置:

# 身份认证的方式:JWT session
'DEFAULT_AUTHENTICATION_CLASSES': (
    # 前后端分离使用jwt验证
    'rest_framework_jwt.authentication.JSONWebTokenAuthentication',
    # 访问admin后台使用session
    'rest_framework.authentication.SessionAuthentication',
),
}
  
# 过期时间为10小时
JWT_AUTH = {
  # timedelta 时间差
    'JWT_EXPIRATION_DELTA': datetime.timedelta(hours=10),
  }
  • JWT_EXPIRATION_DELTA 指明token的有效期

3. 使用

在创建user对象的时候手动生成token

from rest_framework_jwt.settings import api_settings

jwt_payload_handler = api_settings.JWT_PAYLOAD_HANDLER
jwt_encode_handler = api_settings.JWT_ENCODE_HANDLER

payload = jwt_payload_handler(user)
token = jwt_encode_handler(payload)

4. 在序列化中定义增加字段token

from rest_framework_jwt.settings import api_settings

# 创建用户序列化器 class CreateUserSerializer(serializers.Serializer): ... # token字段 token = serializers.CharField(label='登录状态token', read_only=True) ... def create(self, validated_data): """ 创建用户 """ user=User() ... user.save() # 生成记录登录状态的token jwt_payload_handler = api_settings.JWT_PAYLOAD_HANDLER jwt_encode_handler = api_settings.JWT_ENCODE_HANDLER payload = jwt_payload_handler(user) token = jwt_encode_handler(payload) user.token = token return user

转载于:https://www.cnblogs.com/xiaolu915/p/10529413.html

Django中,Session是一种存储用户数据的方式,它基于用户的浏览器cookies,可以在用户访问期间持久保持状态。以下是使用Django session的基本步骤: 1. **导入相关模块**: 首先,确保在视图、模板或者其他需要使用session的地方导入`django.contrib.sessions`模块。 ```python from django.contrib.sessions.backends.db import SessionStore # 使用数据库作为会话后端 ``` 2. **创建会话**: 在需要开始新的会话或者获取当前会话时,可以使用`SessionStore`对象。如果还没有会话,会自动创建一个新的。 ```python def my_view(request): session = SessionStore() # ... ``` 3. **设置和获取值**: 可以像字典一样设置和获取键值对。 ```python session['username'] = 'John Doe' user_name = session.get('username') ``` 4. **保存会话**: 设置完值之后,别忘了调用`save()`方法将更改写入数据库。 ```python session.save() ``` 5. **结束会话**: 在不需要会话时,调用`delete()`或在响应中清除会话,这会在服务器关闭时自动完成。 ```python session.delete() # 或者在响应中设置SESSION_EXPIRE_AT_BROWSER_CLOSE=True ``` 6. **启用session中间件**: 在`settings.py`中,确保启用了`SESSION_ENGINE`和`MIDDLEWARE`设置来处理会话。 ```python SESSION_ENGINE = 'django.contrib.sessions.backends.db' MIDDLEWARE = ['django.contrib.sessions.middleware.SessionMiddleware', ...] ``` 7. **在模板中使用**: 在模板里,你可以使用`{% csrf_token %}`标签以及`request.session`属性访问session数据。 注意,为了安全起见,Django默认不会允许跨域读取会话数据,除非在设置中特别开启`CSRF_COOKIE_DOMAIN`或`SESSION_COOKIE_DOMAIN`。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值