Session的基本原理
前面说了, Cookie就是一个类似字典的键值对,把数据保存在客户端上,可以是临时保存在内存中,也可以长期保存在硬盘上。Cookie可以通过后台或者前端的Javascript创建,而且在客户端可以直接看见,因此一些敏感信息不适合放在Cookie里面
和Cookie相对应的,Session则是在用户访问的时候,创建一个随机的字符串,保存在客户端的Cookie里面,默认名是sessionid,然后在服务器端,给这个字符串创建一个键值对,这个字符串的值又可以是一个字典结构,保存所有相关的信息。因此可以这么理解,Session是服务器端的一个巨大的键值对,每一个key都对应一个登录用户的随机字符串,每个key都有自己的value,这个value同样是一个字典,包括这个登录账号的所有信息。
用户访问一个页面的时候,服务器会查看cookie里面的sessionid,然后通过session去查找匹配的key,然后判断是否已经登录。因此Session是依赖于cookie的,无论是cookie清空或者session清空,都会导致需要重新登录创建新的键值对。
Session常见的基本操作
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
|
获取:例如获取值为X的Session键值对,如果没有则返回
None
request.session.get(
'X'
,
None
)
创建或者修改:
request.session[
'X'
]
=
M
删除:
例如清空整个session
request.session.clear()
清空这个session里面的一个key
del
request.session[
'key'
]
设置超时时间:
例如:设置
200
秒之后超时,他的默认时间是两周
request.session.set_expire(
200
)
获取用户的随机字符串:
request.session.session_key
将过期的session都删掉:
request.session.clear_expired()
获取键值对的值
request.session.keys()
request.session.values()
request.session.items()
|
Session的保存
Django里面,session默认是保存在数据库里面的,因此如果是第一次使用,和通过models配置数据库一样,需要先执行python manage.py makemigrations 和 python manage.py migrate生成对应的表
可以看见他默认生成的表结构大概如下所示
基本的配置文件(默认配置)
1
2
3
4
5
6
7
8
9
10
|
SESSION_ENGINE
=
'django.contrib.sessions.backends.db'
# 引擎(默认)
SESSION_COOKIE_NAME =
"sessionid"
# Session的cookie保存在浏览器上时的key,即:sessionid=随机字符串(默认)
SESSION_COOKIE_PATH =
"/"
# Session的cookie保存的路径(默认)
SESSION_COOKIE_DOMAIN
=
None
# Session的cookie保存的域名(默认)
SESSION_COOKIE_SECURE
=
False
# 是否Https传输cookie(默认)
SESSION_COOKIE_HTTPONLY
=
True
# 是否Session的cookie只支持http传输(默认)
SESSION_COOKIE_AGE
=
1209600
# Session的cookie失效日期(2周)(默认)
SESSION_EXPIRE_AT_BROWSER_CLOSE
=
False
# 是否关闭浏览器使得Session过期(默认)
SESSION_SAVE_EVERY_REQUEST
=
False
# 是否每次请求都保存Session,默认修改之后才保存(默认
|
另外Session还可以保存在缓存(memcache),文件,缓存+数据库或者加密的Cookie,他们对应的配置文件略有不同
缓存,默认是memcache,但是有插件可以支持redis
1
2
3
4
5
6
7
8
9
10
11
12
|
SESSION_ENGINE
=
'django.contrib.sessions.backends.cache'
# 引擎
SESSION_CACHE_ALIAS
=
'default'
# 使用的缓存别名(默认内存缓存,也可以是memcache),此处别名依赖缓存的设置
SESSION_COOKIE_NAME =
"sessionid"
# Session的cookie保存在浏览器上时的key,即:sessionid=随机字符串
SESSION_COOKIE_PATH =
"/"
# Session的cookie保存的路径
SESSION_COOKIE_DOMAIN
=
None
# Session的cookie保存的域名
SESSION_COOKIE_SECURE
=
False
# 是否Https传输cookie
SESSION_COOKIE_HTTPONLY
=
True
# 是否Session的cookie只支持http传输
SESSION_COOKIE_AGE
=
1209600
# Session的cookie失效日期(2周)
SESSION_EXPIRE_AT_BROWSER_CLOSE
=
False
# 是否关闭浏览器使得Session过期
SESSION_SAVE_EVERY_REQUEST
=
False
# 是否每次请求都保存Session,默认修改之后才保存
|
文件
1
2
3
4
5
6
7
8
9
10
11
12
|
SESSION_ENGINE
=
'django.contrib.sessions.backends.file'
# 引擎
SESSION_FILE_PATH
=
None
# 缓存文件路径,如果为None,则使用tempfile模块获取一个临时地址tempfile.gettempdir() # 如:/var/folders/d3/j9tj0gz93dg06bmwxmhh6_xm0000gn/T
SESSION_COOKIE_NAME =
"sessionid"
# Session的cookie保存在浏览器上时的key,即:sessionid=随机字符串
SESSION_COOKIE_PATH =
"/"
# Session的cookie保存的路径
SESSION_COOKIE_DOMAIN
=
None
# Session的cookie保存的域名
SESSION_COOKIE_SECURE
=
False
# 是否Https传输cookie
SESSION_COOKIE_HTTPONLY
=
True
# 是否Session的cookie只支持http传输
SESSION_COOKIE_AGE
=
1209600
# Session的cookie失效日期(2周)
SESSION_EXPIRE_AT_BROWSER_CLOSE
=
False
# 是否关闭浏览器使得Session过期
SESSION_SAVE_EVERY_REQUEST
=
False
# 是否每次请求都保存Session,默认修改之后才保存
|
缓存+数据库
1
2
|
SESSION_ENGINE
=
'django.contrib.sessions.backends.cached_db'
# 引擎
|
加密cookie
1
2
|
SESSION_ENGINE
=
'django.contrib.sessions.backends.signed_cookies'
# 引擎
|
下面看个简单的登录例子
登录的时候,获取用户名和密码,然后如果正确,设置session的值和超时时间
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
|
def
login(request):
if
request.method
=
=
"GET"
:
return
render(request,
'login.html'
)
elif
request.method
=
=
"POST"
:
user
=
request.POST.get(
'user'
)
pwd
=
request.POST.get(
'pwd'
)
if
user
=
=
'root'
and
pwd
=
=
"123"
:
# session中设置值
request.session[
'username'
]
=
user
request.session[
'is_login'
]
=
True
if
request.POST.get(
'rmb'
,
None
)
=
=
'1'
:
# 超时时间
request.session.set_expiry(
10
)
return
redirect(
'/index/'
)
else
:
return
render(request,
'login.html'
)
|
主页显示登录用户信息,如果session超时,显示错误信息
1
2
3
4
5
6
7
|
def
index(request):
# session中获取值
print
(request.session)
if
request.session.get(
'is_login'
,
None
):
return
render(request,
'index.html'
,{
'username'
: request.session[
'username'
]})
else
:
return
HttpResponse(
'Session expired'
)
|
效果:
登录
主页,Django默认情况下2周内session有效,但是cookie在关闭浏览器之后自动清空
如果查看cookie看见出现了一个sessionid的随机字符串
如果我们登录的时候勾选了10秒超时,10秒后刷新页面会显示已经超时
查看cookie发现对应的sessionid已经消失了