本文深入解析HTTP协议的无状态特性，阐述Cookie和Session的产生背景、工作原理及安全应用。Cookie作为客户端存储机制，用于跟踪用户状态，而Session则在服务器端存储用户信息，增强安全性。
http是无状态的，这是什么意思呢？就是说，在没有cookie之前，你第一次访问这个页面和第二次访问这个页面，服务器是不知道的，不知道前一次是你。那么问题来了，我怎么登录，登录成功后，刷新下，服务器就不认识我了，不展示我的信息了，这怎么能行，于是cookie就产生了，cookie是存在客户端的，最常见的就是浏览器了，你第一次访问页面的时候，服务器会返回个cookie给你，这个cookie其实就是sessionId，并存于客户端，第二次的时候，你刷新页面的时候，浏览器就会带上之前的cookie，cookie就像通行证，每人一个，无论谁访问都必须携带自己通行证。这样服务器就能从通行证上确认客户身份了，这就是Cookie的工作原理。
cookie可以设置有效期的，最常见的大家经常看到网站上的记住我功能，它就是利用cookie的有效期，可以让用户一段时间内免登录，cookie还可以存储一些其它的信息，比如像早期有的购物网站，用户购物车这个东西，这个购物车因为用户可能会一会添加一会删除，如果存在数据库里的话，因为频繁的操作，会对数据库造成一定的压力，毕竟用户可能到最后啥也没买，我的数据库服务器却收到了一万点暴击，于是cookie的作用就来了，购物车信息存在cookie里，这样服务器就没有来自购物车的压力了，平摊到了千千万万的用户浏览器上了，是不是很绝妙。
既然cookie可以存数据，那么直接存用户的信息不好吗？干嘛还要session。这就涉及到网络安全的问题了，cookie存在客户端，假如把你的银行卡信息存在cookie里，这时你去上个厕所，其他同事去翻了你的cookie，不是被盗了吗，是不是很危险。于是就有了session。
session才是存用户的一些隐私信息的，session是存在服务器端的，非法用户一般是无法盗取的，很安全。一般登录用户请求页面的时候，浏览器会带上服务器颁发的凭证cookie，凭着这个凭证，找到服务器里存着对应的session数据，一判断session里有用户信息，于是根据用户信息返回相关数据。登录功能就是这样实现的。
如果一个网站有千万的用户，千万的用户同时在线，那么服务器就要维护千万份的session，压力山大，所以可以考虑把session持久化到redis或者memcached中，减轻web服务器的压力，提高web的响应速度。
cookie基本介绍
cookie的由来
大家都知道HTTP协议是无状态的。
无状态的意思是每次请求都是独立的，它的执行情况和结果与前面的请求和之后的请求都无直接关系，它不会受前面的请求响应情况直接影响，也不会直接影响后面的请求响应情况。
一句有意思的话来描述就是人生只如初见，对服务器来说，每次的请求都是全新的。
状态可以理解为客户端和服务器在某次会话中产生的数据，那无状态的就以为这些数据不会被保留。会话中产生的数据又是我们需要保存的，也就是说要“保持状态”。因此Cookie就是在这样一个场景下诞生。
什么是cookie（存储在浏览器上的K,V键值对）
其实Cookie是key-value结构，类似于一个python中的字典。
随着服务器端的响应发送给客户端浏览器。然后客户端浏览器会把Cookie保存起来，当下一次再访问服务器时把Cookie再发送给服务器。 Cookie是由服务器创建，然后通过响应发送给客户端的一个键值对。客户端会保存Cookie，并会标注出Cookie的来源（哪个服务器的Cookie）。当客户端向服务器发出请求时会把所有这个服务器Cookie包含在请求中发送给服务器，这样服务器就可以识别客户端了！
cookie的原理
#cookie的工作原理是： 由服务器产生内容，浏览器收到请求后保存在本地；当浏览器再次访问时，浏览器会自动带上Cookie，这样服务器就能通过Cookie的内容来判断这个是“谁”了。 由服务器产生的
Cookie规范
# Cookie大小上限为4KB； # 一个服务器最多在客户端浏览器上保存20个Cookie； # 一个浏览器最多保存300个Cookie； 上面的数据只是HTTP的Cookie规范，但在浏览器大战的今天，一些浏览器为了打败对手，为了展现自己的能力起见，可能对Cookie规范“扩展”了一些，例如每个Cookie的大小为8KB，最多可保存500个Cookie等！但也不会出现把你硬盘占满的可能！ 注意，不同浏览器之间是不共享Cookie的。也就是说在你使用IE访问服务器时，服务器会把Cookie发给IE，然后由IE保存起来，当你在使用FireFox访问服务器时，不可能把IE保存的Cookie发送给服务器。
Cookie的覆盖
如果服务器端发送重复的Cookie那么会覆盖原有的Cookie，例如客户端的第一个请求服务器端发送的Cookie是：Set-Cookie: a=A；第二请求服务器端发送的是：Set-Cookie: a=AA，那么客户端只留下一个Cookie，即：a=AA。
Cookie的基本使用
1、设置cookie
#需要通过HttpResponse对象来设置 rep = HttpResponse(...) rep ＝ render(request, ...) rep.set_cookie(key,value) rep.set_signed_cookie(key,value,salt='加密盐') #不加盐 set_cookie(key,value) def get_cookie(request): obj = HttpResponse('ok') obj.set_cookie('name','pdun') return obj #加盐 obj.set_signed_cookie('name','pdun',salt='123') #把salt加密后放到冒号后边 name=pdun:1haqZh:TGY_X30GGFUPLC1SE6Sl18g7aSU
参数：
- key, 键
- value='', 值
- max_age=None, 传一个秒的时间，例如：max_age=60*60*24*6, 6天
- expires=None, 超时时间(传一个datatime对象)
- path='/', Cookie生效的路径，/ 表示根路径，特殊的：根路径的cookie可以被任何url的页面访问，浏览器只会把cookie回传给带有该路径的页面，这样可以避免将cookie传给站点中的其他的应用。
- domain=None, Cookie生效的域名 你可用这个参数来构造一个跨站cookie。如， domain=".example.com"所构造的cookie对下面这些站点都是可读的：www.example.com 、 www2.example.com 和an.other.sub.domain.example.com 。如果该参数设置为 None ，cookie只能由设置它的站点读取
- secure=False, 浏览器将通过HTTPS来回传cookie
- httponly=False 只能http协议传输，无法被JavaScript获取（不是绝对，底层抓包可以获取到也可以被覆盖）
获取cookie
request.COOKIES['key'] request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None) #参数： default: 默认值 salt: 加密盐 max_age: 后台控制过期时间
删除Cookie
def logout(request):
rep = redirect("/login/")
rep.delete_cookie("user") # 删除用户浏览器上之前设置的usercookie值
return rep
Cookie版登录校验
def login_auth(func): def inner(request,*args,**kwargs): next_url=request.get_full_path() if request.COOKIES.get('is_login'): return func(request,*args,**kwargs) else: return redirect('cookie_login/?next=%s'%next_url) return inner @login_auth def cookie_order(request): return HttpResponse('我是订单页面') @login_auth def cookie_index(request): name=request.COOKIES.get('username') return render(request,'cookie_index.html',{'name':name}) def cookie_login(request): if request.method =='POST': next_url=request.GET.get('next') name=request.POST.get('name') password=request.POST.get('password') if name == 'lqz' and password == '123': import datetime now=datetime.datetime.now().strftime('%Y-%m-%d %X') print(now) obj=redirect(next_url) obj.set_cookie('is_login',True) obj.set_cookie('username',name) obj.set_cookie('login_time',now) return obj return render(request, 'cookie_login.html')
Session的基本介绍
什么是session
#存在服务器上的键值对 {'随机字符串':{name:pdun,pwd:123}} 解决cookie不安全的问题, 用session必须跟cookie连用
Django中Session基本使用
设置值
request.session['name']='pdun' request.session['age']='1' #如果设置多个,它会以字典的形式存储到session表中的session_data中 #django自动创建session表 #生成session时，django框架会做三件事 1 生成随机字符串（一个浏览器对应一个） 2 取数据库存储 3将随机字符串写到浏览器的cookie中 写入cookie(set_cookie('sessionid','dfasfasdfa'))
取值
#取值 name=request.session['name'] #执行流程: 取到cookie的随机字符串 取session表中根据随机字符串查询,查询出session_data这个字典,然后把字典中name返回
删除值
# 只是删除数据库部分的内容 request.session.delete() #既删除cookie,又删除数据库 request.session.flush()
# 获取、设置、删除Session中数据 request.session['k1'] request.session.get('k1',None) request.session['k1'] = 123 request.session.setdefault('k1',123) # 存在则不设置 del request.session['k1'] # 所有 键、值、键值对 request.session.keys() request.session.values() request.session.items() request.session.iterkeys() request.session.itervalues() request.session.iteritems() # 取到随机字符串，浏览器带过来的cookie的值 request.session.session_key # 清除失效的session request.session.clear_expired() # 检查会话session的key在数据库中是否存在 request.session.exists("session_key") # 删除当前会话的所有Session数据(只删数据库) request.session.delete() # 删除当前的会话数据并删除会话的Cookie（数据库和cookie都删）。 request.session.flush() 这用于确保前面的会话数据不可以再次被用户的浏览器访问 例如，django.contrib.auth.logout() 函数中就会调用它。 # 设置会话Session和Cookie的超时时间 request.session.set_expiry(value) * 如果value是个整数，session会在些秒数后失效。 * 如果value是个datatime或timedelta，session就会在这个时间后失效。 * 如果value是0,用户关闭浏览器session就会失效。 * 如果value是None,session会依赖全局session失效策略。
Django中的Session配置
1. 数据库Session SESSION_ENGINE = 'django.contrib.sessions.backends.db' # 引擎（默认） 2. 缓存Session SESSION_ENGINE = 'django.contrib.sessions.backends.cache' # 引擎 SESSION_CACHE_ALIAS = 'default' # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置 3. 文件Session SESSION_ENGINE = 'django.contrib.sessions.backends.file' # 引擎 SESSION_FILE_PATH = None # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir() 4. 缓存+数据库 SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db' # 引擎 5. 加密Cookie Session SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies' # 引擎 其他公用设置项： SESSION_COOKIE_NAME ＝ "sessionid" # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认） SESSION_COOKIE_PATH ＝ "/" # Session的cookie保存的路径（默认） SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名（默认） SESSION_COOKIE_SECURE = False # 是否Https传输cookie（默认） SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输（默认） SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期（2周）（默认） SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期（默认） SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session，默认修改之后才保存（默认）
思考，如果第二个人再次再同一个浏览器上登录，django-session表会怎样？
CBV中加装饰器
from django import views from django.utils.decorators import method_decorator # @method_decorator(login_auth,name='get') # @method_decorator(login_auth,name='post') class UserList(views.View): # @method_decorator(login_auth) def dispatch(self, request, *args, **kwargs): obj=super().dispatch(request, *args, **kwargs) return obj @method_decorator(login_auth) def get(self,request): return HttpResponse('我是用户列表') def post(self,request): return HttpResponse('我是用户列表')
扫一扫
115
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
