一、session和sessionid：
sessionid是cookie的一个字段，sessionid一般如下：
1 """请求报文""" 2 """ 3 GET /myapp1/session/ HTTP/1.1 4 Host: 127.0.0.1:8000 5 User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:58.0) Gecko/20100101 Firefox/58.0 6 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 7 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 8 Accept-Encoding: gzip, deflate 9 Cookie: login_flag=1; login_name=admin; sessionid=wdsj0ug1yuy634xhqn0ln010ghwk3ofr 10 Connection: close 11 Upgrade-Insecure-Requests: 1 12 Cache-Control: max-age=0 13 """ 14 """"""
这里要明确一个session是存在数据库后端的，cookie是存在客户端（用户）本地的。
sessionid 并不只是可以名字是sessionid，也可以是sid，jsessionid，phpsessionid等等，再来看一个百度的：
1 """ 2 GET / HTTP/1.1 3 Host: www.baidu.com 4 User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:58.0) Gecko/20100101 Firefox/58.0 5 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 6 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 7 Accept-Encoding: gzip, deflate 8 Cookie: BAIDUID=8078C92C8DB5E9579911B40A626F655F:FG=1; BIDUPSID=8078C92C8DB5E9579911B40A626F655F; PSTM=1516783068; BD_HOME=0; H_PS_PSSID=1441_18194_21116_20928 9 Connection: close 10 Upgrade-Insecure-Requests: 1 11 Cache-Control: max-age=0 12 """
来看看相关session的配置文件：
1 #配置setting.py 2 3 SESSION_COOKIE_NAME ＝ "sessionid" # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认） 4 5 SESSION_COOKIE_PATH ＝ "/" # Session的cookie保存的路径（默认） 6 7 SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名（默认） 8 9 SESSION_COOKIE_SECURE = False # 是否Https传输cookie（默认） 10 11 SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输（默认） 12 13 SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期（2周）（默认） 14 15 SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期（默认） 16 17 SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session，默认修改之后才保存（默认）
针对这些配置讲解如何才能更安全：
1、session的路径建议单独保存，切不可再web服务上直接范文。
2、对应的域要配置
3、https肯定要支持
4、过期时间建议不超过2h
5、关闭浏览器过期是必须的
服务器端需要用的很多东西就可以存储在session中而不是sessionid中！例如可以验证码的值存储在sessionid中
例如一个验证码：
可以通过某种图片方式传递到客户端，然后服务器端存储在session中，等待请求报文发过来验证：
1 def verify(request): 2 if request.method != 'POST': 3 s = uuid.uuid1() 4 s = str(s) 5 content = {} 6 content["code"] = s 7 request.session["verifycode"] = s 8 return render(request,"verify.html",content) 9 else: 10 if request.POST["code"] == request.session["verifycode"]: 11 user = request.COOKIES.get("login_name") 12 print user 13 print request.COOKIES 14 if user == None: 15 return HttpResponseRedirect("/myapp1/login") 16 response = HttpResponseRedirect("/myapp1/mainpage?name=%s"%user) 17 response.set_cookie("login_flag","1") 18 return response
可以总结出session的存取：
1 #session的读： 2 request.session["key_name"] 3 #或者： 4 request.session.get("key_name") 5 request.session.get("key_name",None) 6 7 #session的写： 8 session["key"] = value 9 10 """ 11 在Django中要用session中一定要先执行： 12 13 python manage.py makemigrations 14 15 python manage.py migrate 16 """
其他操作：
1 request.session.setdefault('k1',123) #存在则不设置 2 del request.session['k1'] #删除键值对 3 request.session.clear() #删除session 4 5 #所有 键、值、键值对 6 request.session.keys() 7 request.session.values() 8 request.session.items() 9 request.session.iterkeys() 10 request.session.itervalues() 11 request.session.iteritems() 12 13 #用户session的随机字符串 14 request.session.session_key 15 #将所有Session失效日期小于当前日期的数据删除 16 request.session.clear_expired() 17 #检查 用户session的随机字符串 在数据库中是否 18 request.session.exists("session_key") 19 #删除当前用户的所有Session数据 20 request.session.delete("session_key") 21 request.session.set_expiry(value) 22 #默认的过期时间是两周，如果自己设置了过期时间，这样自己设定的优先级就会高于默认的 23 #如果value是个整数，session会在些秒数后失效。 24 #如果value是个datatime或timedelta，session就会在这个时间后失效。 25 #如果value是0,用户关闭浏览器session就会失效。 26 #如果value是None,session会依赖全局session失效策略。