cookie和session
1、cookie不属于http协议范围，由于http协议无法保持状态，但实际情况，我们却又需要“保持状态”，因此cookie就是在这样一个场景下诞生。
cookie的工作原理是：由服务器产生内容，浏览器收到请求后保存在本地；当浏览器再次访问时，浏览器会自动带上cookie，这样服务器就能通过cookie的内容来判断这个是“谁”了。
2、cookie虽然在一定程度上解决了“保持状态”的需求，但是由于cookie本身最大支持4096字节，以及cookie本身保存在客户端，可能被拦截或窃取，因此就需要有一种新的东西，它能支持更多的字节，并且他保存在服务器，有较高的安全性。这就是session。
基于http协议的无状态特征，服务器根本就不知道访问者是“谁”。那么上述的cookie就起到桥接的作用。
我们可以给每个客户端的cookie分配一个唯一的id，这样用户在访问时，通过cookie，服务器就知道来的人是“谁”。然后我们再根据不同的cookie的id，在服务器上保存一段时间的私密资料，如“账号密码”等等。
3、总结而言：cookie弥补了http无状态的不足，让服务器知道来的人是“谁”；但是cookie以文本的形式保存在本地，自身安全性较差；所以我们就通过cookie识别不同的用户，对应的在session里保存私密的信息以及超过4096字节的文本。
先说一下这种认证的机制。每当我们使用一款浏览器访问一个登陆页面的时候，一旦我们通过了认证。服务器端就会发送一组随机唯一的字符串（假设是123abc）到浏览器端，这个被存储在浏览器端的东西就叫cookie。而服务器端也会自己存储一下用户当前的状态，比如login=true，username=hahaha之类的用户信息。但是这种存储是以字典形式存储的，字典的唯一key就是刚才发给用户的唯一的cookie值(存在cookie中，cookie也是字典形式存储的，cookie的值是一个字典，存放了一些信息，其中就包括了sessionid(键)，sessionid的值则为服务端的session的唯一键)。那么如果在服务器端查看session信息的话，理论上就会看到如下样子的字典
{'123abc':{'login':true,'username:hahaha'}}
因为每个cookie都是唯一的，所以我们在电脑上换个浏览器再登陆同一个网站也需要再次验证。因为处于安全性的考虑，其实对于上面那个大字典不光key值123abc是被加密的，value值{'login':true,'username:hahaha'}在服务器端也是一样被加密的。
例子：
-------------------urls.py------------- urlpatterns = [ path('admin/', admin.site.urls), path('login/', views.login), path('index/', views.index), ] -------------------setting.py---------- MIDDLEWARE = [ 'django.middleware.security.SecurityMiddleware', 'django.contrib.sessions.middleware.SessionMiddleware', 'django.middleware.common.CommonMiddleware', # 'django.middleware.csrf.CsrfViewMiddleware', 'django.contrib.auth.middleware.AuthenticationMiddleware', 'django.contrib.messages.middleware.MessageMiddleware', 'django.middleware.clickjacking.XFrameOptionsMiddleware', ] #在django处理请求的过程中，需要经过中间件的过滤，涉及到跨站请求伪造时，django会把请求阻止过滤掉，所以我们要在setting.py中禁用跨站请求伪造的中间件 --------------------index.html------------ <body> <h1>{{ name }}</h1> </body> ---------------------login.html------------ <body> <form action="/login/" method="post"> <p>姓名：<input type="text" name="user"></p> <p>密码：<input type="password" name="pwd"></p> <p><input type="submit"></p> </form> ---------------------views.py-------------- from django.shortcuts import render,redirect import datetime def login(request): # print('cookies:',request.COOKIES) # print('session:',request.session) if request.method=="POST": name=request.POST.get("user") # 获取客户端发来的数据 pwd=request.POST.get("pwd") if name=='zq' and pwd=='123456': # 判断是否是相应用户的登录(实际不能这样写，现在只是例子) request.session['is_login']=True request.session['user']=name return redirect("/index/") # session数据会默认存在本地数据库中，所以要先migrate创建表 return render(request,"login.html") def index(request): if request.session.get("is_login",None): name=request.session.get('user') return render(request,"index.html",locals()) else: return redirect('/login/')
一、操作Cookie
获取cookie：request.COOKIES[key]
设置cookie：response.set_cookie(key,value) max_age参数可设置cookie过期时间,如果max_age=10，10秒后就失效
参数 expires=datetime.datetime.utcnow()+datetime.timedelta(days=3) 也可设置过期时间，以今天的时间为基准3天后到期
二、操作Session(session默认在服务器端保存15天)
获取session：request.session[key]
设置session：reqeust.session[key] = value
删除session：del request.session[key] （其实就是把数据库的session_data更新为一个其他的值了，并没有立即删除）
request.session.set_expiry(value) * 如果value是个整数，session会在些秒数后失效。 * 如果value是个datatime或timedelta，session就会在这个时间后失效。 * 如果value是0,用户关闭浏览器session就会失效。 * 如果value是None,session会依赖全局session失效策略。