day55:django:cookie&session

Cookie

1.Cookie前戏

HTTP协议的两个特点

1.无连接

将协议设计为请求时建连接、请求完释放连接，以尽快将资源释放出来服务其他客户端。

2.无状态

什么是无状态？

无状态的意思是每次请求都是独立的，

它的执行情况和结果与前面的请求和之后的请求都无直接关系，

它不会受前面的请求响应情况直接影响，

也不会直接影响后面的请求响应情况

简单的来说：无状态是指服务器不知道客户端是什么状态。

对于无状态的解释

要明白，这句话的含义是指在说明，http协议作为技术背景的web应用程序请求——应答模式是无状态的，这个事实基本不会发生改变，也不会因为加入cookies、session机制而变成有状态的。

要明白，这种前后因果关系：“我们要实现的是一种web应用，实现这种应用的协议我们选择了http这种本质上是无状态的通信协议。

但是事实上，我们需要我们的web应用是有状态的。所以我们加入了cookies、session等机制去实现有状态的web应用。

2.Cookie的引入

1.cookie的引入

因为http无状态,所以出现了cookie,cookie是一种浏览器技术

2.cookie能做什么？

1.浏览器访问服务端，带着一个空的cookie，

2.然后由服务器产生内容，浏览器收到相应后保存在本地；

3.当浏览器再次访问时，浏览器会自动带上Cookie，这样服务器就能通过Cookie的内容来判断这个是“谁”了。

3.cookie规范

Cookie大小上限为4KB；
一个服务器最多在客户端浏览器上保存20个Cookie；
一个浏览器最多保存300个Cookie，因为一个浏览器可以访问多个服务器。

　　　　上面的数据只是HTTP的Cookie规范，但在浏览器大战的今天，一些浏览器为了打败对手，为了展现自己的能力起见，可能对Cookie规范“扩展”了一些，例如每个Cookie的大小为8KB，最多可保存500个Cookie等！但也不会出现把你硬盘占满的可能！
注意，不同浏览器之间是不共享Cookie的。也就是说在你使用IE访问服务器时，服务器会把Cookie发给IE，然后由IE保存起来，当你在使用FireFox访问服务器时，不可能把IE保存的Cookie发送给服务器。

4.cookie和HTTP头

　Cookie是通过HTTP请求和响应头在客户端和服务器端传递的：

Cookie：请求头，客户端发送给服务器端；
格式：Cookie: a=A; b=B; c=C。即多个Cookie用分号离开； 
Set-Cookie：响应头，服务器端发送给客户端；
格式：一个Cookie对象一个Set-Cookie： Set-Cookie: a=A Set-Cookie: b=B Set-Cookie: c=C

5.cookie的覆盖

如果服务器端发送重复的Cookie那么会覆盖原有的Cookie，例如客户端的第一个请求服务器端发送的Cookie是：Set-Cookie: a=A；第二请求服务器端发送的是：Set-Cookie: a=AA，那么客户端只留下一个Cookie，即：a=AA。

3.django中操作cookie

cookie的获取/设置/修改/删除

1.获取cookie

# 获取cookie
request.COOKIES['key']
request.get_signed_cookie(key, default=RAISE_ERROR, salt='', max_age=None) #带签名的值
'''
参数：
default: 默认值
salt: 加密盐
max_age: 后台控制过期时间
'''

2.设置cookie

# 设置cookie
'''cookie的获取都是基于request对象的'''
'''cookie的设置都是基于HttpResponse对象的'''
rep = HttpResponse(...)
rep ＝ render(request, ...)
rep.set_cookie(key,value,...)
rep.set_signed_cookie(key,value,salt='加密盐', max_age=None, ...)

3.修改cookie

# 修改cookie
ret.set_cookie('username', 'xxx')  #相同的键设置不同的值就是修改

4.删除cookie

# 删除cookie
ret.delete_cookie('username')

cookie参数的意义

key # 键
value='' # 值
max_age=None # 超时时间,单位为秒  5表示5秒后失效
expires=None # 超时时间(IE requires expires,so set it if hasn't been already.)值为时间日期类型数据
path='/' # Cookie生效的路径，/ 表示根路径，特殊的：根路径的cookie可以被任何url的页面访问
domain=None # Cookie生效的域名
secure=True #  https传输
httponly=False # 只能http协议传输，无法被JavaScript获取（不是绝对，底层抓包可以获取到也可以被覆盖）

Session

1.cookie的局限性

1.cookie是明文存储的

2.cookie的大小限制

　　Cookie大小上限为4KB；

　　一个服务器最多在客户端浏览器上保存20个Cookie；

　　一个浏览器最多保存300个Cookie，因为一个浏览器可以访问多个服务器。

2.session技术

session比cookie的强大之处

Cookie虽然在一定程度上解决了“保持状态”的需求，但是由于Cookie本身最大支持4096字节，以及Cookie本身保存在客户端，可能被拦截或窃取，

因此就需要有一种新的东西，它能支持更多的字节，并且他保存在服务器，有较高的安全性。这就是Session。

cookie的桥接作用

问题来了，基于HTTP协议的无状态特征，服务器根本就不知道访问者是“谁”。那么上述的Cookie就起到桥接的作用。

我们可以给每个客户端的Cookie分配一个唯一的id，这样用户在访问时，通过Cookie，服务器就知道来的人是“谁”。

然后我们再根据不同的Cookie的id，在服务器上保存一段时间的私密资料，如“账号密码”等等。

cookie和session各自实现的功能总结

总结而言：Cookie弥补了HTTP无状态的不足，让服务器知道来的人是“谁”；

　　　　但是Cookie以文本的形式保存在本地，自身安全性较差；

　　　　　所以我们就通过Cookie识别不同的用户，对应的在Session里保存私密的信息以及超过4096字节的文本。

3.django操作session

# 设置session
request.session['k1'] = 123
request.session.setdefault('k1',123)

# 获取session
request.session['k1'] 
request.session.get('k1',None)

# 删除session
del request.session['k1']

# 清空session
request.session.flush()

4.Session详细流程解析

5.session实例分析

这是一段登录的视图函数,在函数中添加两个session，在添加session时，做了三件事

def login(request):
    if request.method == 'GET':
        return render(request, 'login.html')
    else:
        uname = request.POST.get('username')
        if uname == 'root' or uname=='abc':
            request.session['is_login'] = True
            request.session['username'] = uname
            # request.session
            # 1 生成一个随机字符串
            # 2 将随机字符串放到cookie中,名称为sessionid
            # 3 将设置的session数据,序列化+加密,保存到了django-session表中
            return redirect('/home/')
        else:
            return redirect('/login/')

这是一段注销的视图函数，这个时候我们要删除session，在删除session时，做了两件事

def logout(requset):
    requset.session.flush()
    # 1 删除cookie中的数据
    # 2 删除数据库中django-session表中的记录
    return redirect('/login/')

这是一个基于session的登录认证中间件，这个时候我们要查session中某个键的值，在查session的时候，做了三件事

# 基于session的登录认证中间件
class LoginAuth(MiddlewareMixin):
    white_list = ['/login/', ]  # 白名单
    def process_request(self,request): 
        path = request.path # 获取当前请求路径
        if path not in self.white_list: # 如果路径不在白名单内
            is_login = request.session.get('is_login') # 获取session中is_login的值
            # request.session['is_login']
            # 1 取出请求中cookie键为sessionid的值
            # 2 通过这个值到django-session表中获取数据
            # 3 将数据解密并且反序列化得到原来的数据
            if is_login != True:
                return redirect('/login/')

6.对于cookie和session的总结

# 0.session你需要注意的点
'''
注意：1.session数据是保存在服务端的(存在？)，给客户端返回的是一个随机字符串
然后给这个随机字符串配一个固定的键 这个键叫做sessionid，也就是说sessionid存储的就是随机字符串
2.在默认情况下操作session的时候需要django的默认一张django_session表
django_session表中存放着三个字段:session_key session_data expire_data
3.django默认session的过期时间是14天，但是你也可以人为的修改它
4.django_session表中的数据条数是取决于浏览器的
    同一个计算机上同一个浏览器只会有一条数据。
    如果是不同的浏览器，就会有多条数据
    但是当session过期的时候可能会出现多条数据对应一个浏览器，但是这种现象不会持续很久，django内部会自动识别过期的数据清除，你也可以通过代码去清除
5.session是保存在服务端的，但是session的保存位置可以有多种选择
    1.可以存在自己的mysql数据库中
    2.可以存在文件里面
    3.可以存在缓存中：redis，memcache
'''

# 1.django中的session操作 【设置 获取 修改 删除】
'''
1.设置session
request.session['key'] = value

2.获取session
request.session.get('key')

3.设置session过期时间
request.session.set_expiry()
    括号内可以放四种类型参数
        1.整数：多少秒
        2.日期对象：Datetime 到了指定日期就失效
        3.0：一旦当前浏览器窗口关闭 立刻失效
        4.什么都不写：失效时间就取决于django内部全局session默认的失效时间(14天)

4.清除session
request.session.delete() ： 只删服务端的 客户端的不删
request.session.flush() ：浏览器和服务端都清空[常用]

5.像设置字符串和获取字符串，是可以做一个加盐(加密)处理的，不是很重要就不细说了....

5.session还有很多属性，在这就不再一一介绍了
'''

# 2.知道这些了，我们先来搞一个session操作
'''
1.配置一个url，叫做set/session,并且定义视图函数set_session
2.def set_session(request):
    request.session['hobby']='girl'
    return HttpResponse('ok')
3.运行django项目 然后去django_session表中查看 会发现django_session表中多了一条数据
4.现在设置session没有问题了，那么如何获取session呢？
5.再配置一个url，叫做get/session，并且定义视图函数get_session
def get_session(request):
    print(request.session.get('hobby'))
    return HttpResponse('ok')
6.运行django项目 进入get/session路径 可以打印出girl，girl就是session键对应的值
7.现在设置session和获取session都已经成功了，接下来分析设置session和获取session内部究竟做了什么事
request.session['hobby']='girl'
    1.django内部会自动帮你生成一个随机字符串
    2.django内部自动将随机字符串和对应的数据存储在django-session表中
        1.先在内存中产生操作数据的缓存
        2.在响应经过django中间件的时候才真正的操作数据库
    3.将产生的随机字符串返回给客户端浏览器保存
request.session.get('hobby')
    1.自动从浏览器请求中获取sessionid对应的随机字符串
    2.拿着该随机字符串去django-session表中查找对应的数据
    3.进行比对
        如果比对上了，则将对应的数据取出并以字典的形式封装到request.session中
        如果比对不上，则request.session.get()返回的值是None
--------------------------------------------------------------------------------------
8.session除了设置和获取，也有一些额外的操作
    1.session设置值可以设置多个的
        request.session['hobby1']='girl1'
        request.session['hobby2']='girl2'
        request.session['hobby3']='girl3'
        request.session['hobby4']='girl4'
        那问题就来了，如果设置了四个session，在django_session表中是有一条数据还是多条数据呢？
            在django_session表中，只有一条数据，但是你设置了四个session，你可以通过四个request.session.get(key)分别获取他们的value，四个是都可以打印出来的
            为什么session只有一条数据呢?如果每存一次开辟一个新的数据，数据库表数据会难以承担，为了节省服务端资源
9.知道了如何删除session，那我们现在定义一个视图函数del_session
def del_session(request):
    request.session.delete()
    return HttpResponse('ok')
'''

django外部脚本调用django环境

import os
os.environ.setdefault("DJANGO_SETTINGS_MODULE", "django_cookie.settings")
import django
django.setup()

from app01 import  models
models.Book.objects.create(
    title='xxx',
    price=200,
)

基于session和中间件完成登录认证

简单来说，就是你登录了，才可以访问那些首页添加页面那些url

而当你没有登录的时候，是不能够访问这些url的

登录的视图函数

当你登录成功的时候，将session中的is_login设置为True

def login(request):
    if request.method == 'GET':
        return render(request,'login.html')
    else:
        username = request.POST.get('username')
        if username == 'root': # 当用户名输入正确的时候，让session的is_login的值为True
            request.session['is_login'] = True
            return redirect('/book/list')
        else:
            return HttpResponse('username error')

基于session和中间件的登录认证类

class Auth(MiddlewareMixin):
    """
    基于session的登录认证中间件
    """
    white_lst = ['/login/',] # 白名单
    def process_request(self,request):
        path = request.path # 获取当前请求路径
        if path not in self.white_lst:
            # 判断当前请求路径是否在白名单中
            '''
            1.如果在白名单中，无需经过session认证 直接可以显示界面
            2.如果不在白名单中，通过request.session.get获取到session中的is_login值
              根据is_login的值判断用户是否登录
                a.如果is_login的值为True,代表用户已经登录，所以通过验证
                b.如果is_login的值为False,代表用户没有登录，不能通过验证，所以进不了其他界面，返回到login
            '''
            is_login = request.session.get('is_login')
            if is_login != True:
                return redirect('/login/')