Django--4、认证系统

  • cookie与session

    概念

    因http协议无法保存状态，但是又需要保存状态，所以有了cookie。它不属于http协议范畴

    工作原理：相当于一段标识数据。在访问服务器产生标识内容（cookie），加入到响应里返回，浏览器再次访问时会自动带上cookie。服务器就能识别出身份了。 数据缓存在浏览器中。减轻服务器端的压力。但安全性不高。

    cookie随可实现保持状态，但其最大支持4096字节，且保存在客户端不安全，于是产生了支持更多字节，保存在服务端的机制--session。

    session的机制：给客户端cookie加入不同的ID，访问时提供cookie，服务端根据ID拿出私密的数据，就可以识别出身份了。

    但是cookie中内容被盗依然危险，所以有了失效时间。

    总结：cookie与session要配合使用。cookie弥补了http无状态的不足，但存在客户端且安全性差。所以仅用cookie存标识号（sessionID），它对应服务端存的数据。

    是开发界共通的概念

    django实现cookie

    • 获取cookie
    request.COOKIES['key']
request.get_signed_cookie(key,default=RAISE_ERROR,salt='',max_age=None)
    default：默认值
    salt：加密盐
    max_age：过期时间
    • 设置cookie
    res = 任何一种响应方式实例对象。
res.set_cookie(key,value,……)
res.set_signed_cookie(key,value,salt='加密盐',……)

    def set_cookie(self, key,                 键
　　　　　　　　value='',            值
　　　　　　　　max_age=None,        超长时间
　　　　　　　　expires=None,        超长时间
　　　　　　　　path='/',           Cookie生效的路径，浏览器只会把cookie回传给带有该路径的页面，这样可以避免将cookie传给站点中的其他的应用。
                      / 表示根路径，特殊的：根路径的cookie可以被任何url的页面访问
　　　　　　　　　　　　 
                domain=None,         Cookie生效的域名
                    你可用这个参数来构造一个跨站cookie。
                    如， domain=".example.com"
                    所构造的cookie对下面这些站点都是可读的：
                      www2.example.com 
　　　　　　　　　　　　和an.other.sub.domain.example.com 。
                   如果该参数设置为 None ，cookie只能由设置它的站点读取。

　　　　　　　 secure=False,        如果设置为 True ，浏览器将通过HTTPS来回传cookie。
　　　　　　　 httponly=False       只能http协议传输，无法被JavaScript获取
                        （不是绝对，底层抓包可以获取到也可以被覆盖）
　　　　　　　　　　): pass

    由于cookie保存在客户端，所以，JavaScript和jquery也可以操作cookie。

    <script src='/static/js/jquery.cookie.js'>
 
</script> $.cookie("key", value,{ path: '/' });
    • 删除cookie res.delete_cookie("cookie_key",path="/",domain=name)

    Django实现session

    设置session值
request.session['sname']="root"

获取session值
sname = request.session['sname']

删除session值
del request.session['sname']

检测是否操作session值
if "sname" is request.session

.get
.pop
.keys
.items
.setdefault
.flush  删数据和cookie
.session_key
.clear_expired
.exists
.delete  删数据

.set_expiry(value)
            * 如果value是个整数，session会在些秒数后失效。
            * 如果value是个datatime或timedelta，session就会在这个时间后失效。
            * 如果value是0,用户关闭浏览器session就会失效。
            * 如果value是None,session会依赖全局session失效策略。

    流程解析图

    1. 登录后生产个字典，字典存入session库，key是随机标识。value是数据字典
    2. 在value中存信息。
    3. 把Key写入cookie中返回，request.session看到的是value。

    总结：Django中用session时，cookie由服务端生成，写到请求里返回给浏览器。浏览器会缓存。cookie是寻找用户信息的唯一标识。

    session函数示例

    def log_in(request):

    if request.method=="POST":
        username=request.POST['user']
        password=request.POST['pwd']

        user=UserInfo.objects.filter(username=username,password=password)

        if user:
            #设置session内部的字典内容
            request.session['is_login']='true'
            request.session['username']=username

            #登录成功就将url重定向到后台的url
            return redirect('/backend/')

    #登录不成功或第一访问就停留在登录页面
    return render(request,'login.html')




def backend(request):
    print(request.session,"------cookie")
    print(request.COOKIES,'-------session')
    """
    这里必须用读取字典的get()方法把is_login的value缺省设置为False，
    当用户访问backend这个url先尝试获取这个浏览器对应的session中的
    is_login的值。如果对方登录成功的话，在login里就已经把is_login
    的值修改为了True,反之这个值就是False的
    """

    is_login=request.session.get('is_login',False)
    #如果为真，就说明用户是正常登陆的
    if is_login:
        #获取字典的内容并传入页面文件
        cookie_content=request.COOKIES
        session_content=request.session

        username=request.session['username']

        return render(request,'backend.html',locals())
    else:
        """
        如果访问的时候没有携带正确的session，
        就直接被重定向url回login页面
        """
        return redirect('/login/')



def log_out(request):
    """
    直接通过request.session['is_login']回去返回的时候，
    如果is_login对应的value值不存在会导致程序异常。所以
    需要做异常处理
    """
    try:
        #删除is_login对应的value值
        del request.session['is_login']
        
        # OR---->request.session.flush() # 删除django-session表中的对应一行记录

    except KeyError:
        pass
    #点击注销之后，直接重定向回登录页面
    return redirect('/login/')

    ===================================login.html==================
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>

<form action="/login/" method="post">
    <p>用户名: <input type="text" name="user"></p>
    <p>密码: <input type="password" name="pwd"></p>
    <p><input type="submit"></p>
</form>


</body>
</html>


===================================backend.html==================

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>

<h3>hello {{ username }}</h3>
<a href="/logout/">注销</a>

</body>
</html>

    session存储的相关配置

    • 数据库配置（默认）
    Django默认支持Session，并且默认是将Session数据存储在数据库中，即：django_session 表中。
  
a. 配置 settings.py
  
    SESSION_ENGINE = 'django.contrib.sessions.backends.db'   # 引擎（默认）
      
    SESSION_COOKIE_NAME ＝ "sessionid"                       # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）
    SESSION_COOKIE_PATH ＝ "/"                               # Session的cookie保存的路径（默认）
    SESSION_COOKIE_DOMAIN = None                             # Session的cookie保存的域名（默认）
    SESSION_COOKIE_SECURE = False                            # 是否Https传输cookie（默认）
    SESSION_COOKIE_HTTPONLY = True                           # 是否Session的cookie只支持http传输（默认）
    SESSION_COOKIE_AGE = 1209600                             # Session的cookie失效日期（2周）（默认）
    SESSION_EXPIRE_AT_BROWSER_CLOSE = False                  # 是否关闭浏览器使得Session过期（默认）
    SESSION_SAVE_EVERY_REQUEST = False                       # 是否每次请求都保存Session，默认修改之后才保存（默认）
    • 缓存配置
    a. 配置 settings.py
  
    SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # 引擎
    SESSION_CACHE_ALIAS = 'default'                            # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置
  
  
    SESSION_COOKIE_NAME ＝ "sessionid"                        # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串
    SESSION_COOKIE_PATH ＝ "/"                                # Session的cookie保存的路径
    SESSION_COOKIE_DOMAIN = None                              # Session的cookie保存的域名
    SESSION_COOKIE_SECURE = False                             # 是否Https传输cookie
    SESSION_COOKIE_HTTPONLY = True                            # 是否Session的cookie只支持http传输
    SESSION_COOKIE_AGE = 1209600                              # Session的cookie失效日期（2周）
    SESSION_EXPIRE_AT_BROWSER_CLOSE = False                   # 是否关闭浏览器使得Session过期
    SESSION_SAVE_EVERY_REQUEST = False                        # 是否每次请求都保存Session，默认修改之后才保存
    • 文件配置（了解）
    a. 配置 settings.py
  
    SESSION_ENGINE = 'django.contrib.sessions.backends.file'    # 引擎
    SESSION_FILE_PATH = None                                    # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir()        
    SESSION_COOKIE_NAME ＝ "sessionid"                          # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串
    SESSION_COOKIE_PATH ＝ "/"                                  # Session的cookie保存的路径
    SESSION_COOKIE_DOMAIN = None                                # Session的cookie保存的域名
    SESSION_COOKIE_SECURE = False                               # 是否Https传输cookie
    SESSION_COOKIE_HTTPONLY = True                              # 是否Session的cookie只支持http传输
    SESSION_COOKIE_AGE = 1209600                                # Session的cookie失效日期（2周）
    SESSION_EXPIRE_AT_BROWSER_CLOSE = False                     # 是否关闭浏览器使得Session过期
    SESSION_SAVE_EVERY_REQUEST = False                          # 是否每次请求都保存Session，默认修改之后才保存

    用户认证

    auth模块

    导入

    from django.contrib import auth

    authenticate

    用户认证，需要user和password关键字参数，认证有效会返回user对象，该对象会在后续的登录过程中使用。

    login

    认证成功后登录并返回页面 接收一个HttpRequest对象，以及认证后生成的user对象。
    会给已认证的用户附加上sessionID等信息。

    logout

    注销用户 接收一个HttpRequest对象，无返回值。
    调用后，当前请求的session信息会全部清除。
    即使用户没登录调用这个函数也不会报错。

    login认证后user对象的is_authenticated

    判断认证是否通过。 不验证权限和激活状态。

    实现未登录跳到登录，登录后再跳回来。

    使用auth模块的 decorators的login_required方法。
    若用户没有登录，则会跳转到django默认的 登录URL '/accounts/login/ ' (在settings文件中通过LOGIN_URL进行修改)。并传递当前访问url的绝对路径 (登陆成功后，会重定向到该路径)。

    auth.models的user对象

    is_staff 是否有管理权限
is_active  是否允许登录

    创建用户create_user

    user = User.objects.create_user（username='',password='',email=''）

    密码验证check_password

    接收密码字符串。
    用户需要修改密码的时候 首先要让他输入原来的密码 ，如果给定的字符串通过了密码检查，返回 True

    修改密码set_password

    user = User.objects.get(username='')
user.set_password(password='')
user.save　

    示例

    注册

    def sign_up(request):
 
    state = None
    if request.method == 'POST':
 
        password = request.POST.get('password', '')
        repeat_password = request.POST.get('repeat_password', '')
        email=request.POST.get('email', '')
        username = request.POST.get('username', '')
        if User.objects.filter(username=username):
                state = 'user_exist'
        else:
                new_user = User.objects.create_user(username=username, password=password,email=email)
                new_user.save()
 
                return redirect('/book/')
    content = {
        'state': state,
        'user': None,
    }
    return render(request, 'sign_up.html', content)　　

    改密码

    @login_required
def set_password(request):
    user = request.user
    state = None
    if request.method == 'POST':
        old_password = request.POST.get('old_password', '')
        new_password = request.POST.get('new_password', '')
        repeat_password = request.POST.get('repeat_password', '')
        if user.check_password(old_password):
            if not new_password:
                state = 'empty'
            elif new_password != repeat_password:
                state = 'repeat_error'
            else:
                user.set_password(new_password)
                user.save()
                return redirect("/log_in/")
        else:
            state = 'password_error'
    content = {
        'user': user,
        'state': state,
    }
    return render(request, 'set_password.html', content)
【推广】 免费学中医，健康全家人
原文地址：https://www.cnblogs.com/jinyudong/p/8463115.html