🍖django之Cookie、Session、Token

一.Cookie、Session、Token的由来

我们知道HTTP协议无连接的, 也就是不保存用户的状态信息

早期(十几年前)的网页是静态的, 数据都是写死的, 人们访问网页只是用来查看新闻的, 没有保存用户状态的需求

而往后出现了像论坛、博客、网购这一类需要保存用户信息的网站, 如果网站不保存用户的状态信息, 意味着用户每次访问都需要重新输入用户名和密码, 这无疑对用户的体验是极其不好的

于是, 就出现了会话跟踪技术, 我们可以把它理解为客户端与服务端之间的一次会晤, 一次会晤包含的多次请求与响应, 每次请求都带着请求参数, 比如请求登入的请求参数是用户名和密码, 服务端就会拿着请求参数与数据库去比对, 找到相应的用户信息

如何实现会话跟踪 : 在HTTP协议中可以使用Cookie来完成, 在Web开发中可以使用Session来完成

• Cookie是存在浏览器中的键值对, 每次发送请求都携带者参数, 但是容易被截获, 不安全

• 于是就出现了Session, 它是存在于服务端的键值对, key为随机字符串, 安全性提高了, 但所有的数据都存在服务器中, 服务器的压力很大

• 之后便产生了Token的概念, 服务端签发加密后的字符串给客户端浏览器保存, 客户端每次请求携带用户名和密码, 并加上由服务端签发的用户名和密码加密的字符串, 服务端收到请求后再对用户名密码加密, 与后面携带的密文对比, 由于它也是保存在客户端浏览器上的, 所以也叫Cookie

二.Cookie简介

1.什么是Cookie

• Cookie是服务器保存在客户端浏览器之上的key-value键值对 : username='shawn';password="123"
• 它是随着服务器的响应发送给客户端, 客户端将其保存, 下一次请求时会将Cookie放在其中, 服务器通过识别Cookie就能知道是哪个客户端浏览器

2.Cookie规范

• Cookie大小上限为4KB
• 一个服务器最多在客户端浏览器上保存20个Cookie
• 一个浏览器最多保存300个Cookie

上面是HTTP中Cookie的规范, 现在浏览器的竞争, 有些Cookie大小能打到8KB, 最多可以保存500个Cookie

不同浏览器之间的Cookie是不共享的

3.安全性

• Cookie保存在浏览器本地, 意味着很容易被窃取和篡改

三.Session简介

1.什么是Session

• 存放在服务器上的键值对 : {'weqweq':{'username':'shawn','password':'123'}}

• Cookie可以保存状态, 但本身最大只能支持4069字节, 并且不安全, 于是就出现了Session

• 它能支持更多字节, 并且保存在服务器上, 具有较高的安全性,Session基于Cookie, 本地存放服务器返回给浏览器的随机字符串

• 客户端浏览器请求中携带随机字符串(session_id), 服务端收到后与数据库中存储的session做对比

ps : session存储的方式多种多样, 可以是数据库、缓存、硬盘等等

2.Cookie、Session小结

1. cookie是存在于浏览器上的, 保存形式以key:value键值对的形式
2. session是存在于服务端的, django中保存在django_session表中, key: 对应session_key字段, value: 对应session_data, 还有一个session_date用来保存终止会话时间
3. session是基于cookie工作的, 在django中session会告知浏览器以sessionid:随机字符的格式保存数据

四.Token简介

1.什么是Token

• session数据保存在服务端, 提升了安全性, 但如果用户数据量特别多, 那么服务器的压力就会非常大
• 所以不再在服务端中保存数据
• Token采用了jwt(json web token)的认证方式, 数据格式分为三段式 : {公司信息。。}.{name:lqz,id:10}.加密后的字符串
• 登入成功之后, 将第一段数据与第二段数据进行加密(加密算法是你后端开发自定义的), 加密后得到的字符串放在最后一段, 然后整体的返回给浏览器
• 浏览器下次访问的时候就会带着该信息, 服务端收到再取前两段进行加密与第三段对比

五.django中cookie的使用

1.Cookie四件套

• 增 : obj.set_cookie('key','value)
• 查 : request.COOKIE.get('key')
• 改 : obj.set_cookie('key','value')
• 删 : obj.delete_cookie('key')

2.Cookie四件套示例

• 增

def cookie_test(request):
    # obj1 = HttpResponse()
    # return obj1
    # obj2 = render(request,'cookie_test.html')
    # return obj2

    obj = HttpResponse('生成了两个cookie')

    # 设置cookie
    obj.set_cookie('name','shawn')
    obj.set_cookie('pwd','123')

    return obj

• 查

# 获取cookie
def get_cookie(request):
    name = request.COOKIES.get('name')
    pwd = request.COOKIES.get('pwd')
    return HttpResponse(f'获取到cookie,name:{name},pwd:{pwd}')

• 改

# 更新cookie,与设置一样
def set_cookie(request):
    obj = HttpResponse('重新对cookie进行了设置')
    obj.set_cookie('name','xing')
    obj.set_cookie('pwd','11122')
    return obj

• 删

# 删除cookie
def del_cookie(request):
    obj = HttpResponse('删除了一个cookie')
    obj.delete_cookie('name')
    return obj

3.其他操作

• cookie加盐

# 为cookie进行加盐
def set_salt(request):
    obj = HttpResponse('为name加了个盐中盐')
    obj.set_cookie('name', 'shawn')
    # 加盐操作
    obj.set_signed_cookie('name', 'shawn', salt='盐中盐')
    return obj

# 获取加盐的cookie
def get_salt(request):
    name_salt = request.COOKIES.get('name')
    salts = request.get_signed_cookie('name', salt='盐中盐')
    return HttpResponse(f'获取到加盐的cookie名:{salts}
加盐后的cookie:{name_salt}')

• 设置超时时间, 直接在设置cookie的时候加参数(两种方法)

# expires常用,支持IE浏览器(以秒为单位)
def set_timeout(request):
    obj = HttpResponse('超时删除cookie')
    obj.set_cookie('name', 'shawn', max_age=5)  # 5秒删除
    obj.set_cookie('pwd', '123445', expires=6)  # 6秒删除
    return obj

4.基于cookie的登入认证示例

登入了记录cookie,下次可以直接访问, 未登入则需要跳转到登录界面, 退出登入则删除cookie

• 登入认证装饰器(views.py)

def auth(func):
    def wrapper(request, *args, **kwargs):
        if request.COOKIES.get('name') == 'shawn':
            return func(request, *args, **kwargs)
        # print(request.get_full_path())  # 获取用户在url输入的地址
        # print(request.path)  # 获取用户在url输入的地址
        goto_url = request.get_full_path()  # 就是用户最开始想要访问的地址(这里看看他有没有登入)
        # 没有登入直接重定向到登入页面,后面带上他想访问的地址
        return redirect(f'/login/?goto={goto_url}')

    return wrapper

• 其他视图函数(views.py)

# 登入
def login(request):
    if request.method == "POST":
        name = request.POST.get('name')
        passwd = request.POST.get('passwd')
        # 拿到用户之前想访问的地址(可能用户是因为没登入才跳转过来登入)
        goto_url = request.GET.get('goto')
        if name == 'shawn' and passwd == '123':
            # 下面进行判断goto_url是否为空(因为用户可能是直接访问login页面的)
            if goto_url:
                obj = redirect(f'{goto_url}')
            else:
                obj = redirect('/home/')  # 如果是直接登入的就直接跳到首页
            # 登入成功保存用户cookie到浏览器
            obj.set_cookie('name', 'shawn')
            return obj
        # 用户输错密码再次展示登入界面并将他想去的地址再传一遍
        return render(request, 'login.html', {'goto_url': goto_url})
    elif request.method == 'GET':
        return render(request, 'login.html')


# home登入后界面
@auth
def home(request):
    if request.method == "GET":
        return render(request, 'home.html')


# book界面
@auth
def book(request):
    if request.method == "GET":
        return render(request, 'book.html')


# 退出登入:删除cookie
@auth
def logout(request):
    obj = redirect('login_name')
    obj.delete_cookie('name')
    return obj

• 路由层(urls.py)

# cookie登入认证路由
path('login/', views.login,name='login_name'),
path('home/', views.home,name='home_name'),
path('logout/', views.logout,name='logout_name'),
path('book/', views.book,name='book_name'),

• 模板层 : login.html

<div class="container-fluid">
    <div class="row">
        <div class="col-md-6 col-md-offset-3">
            <div class="panel panel-default">
              <div class="panel-heading text-center">
                <h3 class="panel-title">登入</h3>
              </div>
              <div class="panel-body">
                  <form action="{{ goto_url }}" method="post">
                      <p>用户名: <input type="text" name="name" class="form-control"></p>
                      <p>密码: <input type="passwd" name="passwd" class="form-control"></p>
                      <input type="submit" value="登入" class="btn btn-block btn-warning">
                  </form>
              </div>
            </div>
        </div>
    </div>
</div>

• 模板层 : home.html

<div class="container-fluid">
    <div class="row">
        <div class="col-md-8 col-md-offset-2">
            <div class="jumbotron a1">
              <h2>我是首页,只展示给登入的用户!</h2>
              <p>莫再说</p>
                <form action="{% url 'logout_name' %}" method="post" >
                    <input type="submit" value="退出登入" class="btn btn-warning">
                </form>
                <form action="{% url 'book_name' %}">
                    <input type="submit" value="To Book>>" class="btn btn-info pull-right">
                </form>
            </div>
        </div>
    </div>
</div>

• 模板层 : book.html

<div class="container-fluid">
    <div class="row">
        <div class="col-md-8 col-md-offset-2">
            <div class="jumbotron">
              <div class="alert alert-success" role="alert">
                  <h2><a href="#" class="alert-link">登入的用户才能访问图书馆</a></h2>
                </div>
                <div class="alert alert-info" role="alert">
                  <a href="#" class="alert-link">万里黄沙掏不尽</a>
                    {% block book %}
                    <form action="{% url 'home_name' %}">
                        <input type="submit" value="返回HOME" class="bnt btn-success btn-block">
                    </form>
                    {% endblock %}
                </div>
                <div class="alert alert-warning" role="alert">
                  <a href="#" class="alert-link">《爱德华的乔楚罗》</a>
                </div>
                <div class="alert alert-danger" role="alert">
                  <a href="#" class="alert-link">《戴猫的银镜》</a>
                </div>
              {# // "省略......" #}
            </div>
        </div>
    </div>
</div>

• 测试效果

六.django中session的使用

1.session四件套

• 设置session

def set_session(request):
    request.session['name'] = 'song'
    request.session['pwd'] = '123'
    return HttpResponse('设置了一个session')

• 获取session

def get_session(request):
    name = request.session.get('name')
    pwd = request.session['pwd']  # 两种方法都可以(这种找不到会报错)
    return HttpResponse(f'获取到session:{name}-{pwd}')

• 修改session

def update_session(request):
    name1 = request.session.get('name')
    request.session['name'] = 'shawn'
    name2 = request.session.get('name')
    return HttpResponse(f'修改前{name1},修改后{name2}')

• 删除session(一)

def del_session(request):
    name1 = request.session.get('name')
    del request.session['name']  # 删除session中的name信息
    name2 = request.session.get('name')
    pwd = request.session['pwd']
    return HttpResponse(f'只删除name,删除前name:{name1},删除后再获取name:{name2},pwd:{pwd}还在')

• 删除session(二)

def del2_session(request):
    request.session.delete()  # 删除数据库(服务端)
    request.session.flush()  # 删除cookie和数据库(客户端和服务端)
    return HttpResponse('删除,去刷新数据库可以发现空了')

2.基于session的登入认证示例

登入了记录session,下次可以直接访问, 未登入则需要跳转到登录界面, 退出登入则删除session

• 登入认证装饰器(views.py)

def login_auth(func):
    def inner(request, *args, **kwargs):
        # 判断是否已经有这个用户的session
        if request.session.get('name') == 'shawn':
            return func(request, *args, **kwargs)
        # 拿到用户输入的想要访问的地址
        goto_url = request.get_full_path()
        return redirect(f'/session_login/?goto={goto_url}')

    return inner

• 其他视图函数(views.py)

# 登入
def session_login(request):
    if request.method == "POST":
        name = request.POST.get('name')
        pwd = request.POST.get('pwd')
        goto_url = request.GET.get('goto')
        if name == 'shawn' and pwd == '123':
            request.session['name'] = name
            request.session['pwd'] = pwd
            if goto_url:
                return redirect(goto_url)
            else:
                return redirect('session_home_name')
        return render(request, 'session_login.html', {'goto_url': goto_url})
    elif request.method == 'GET':
        return render(request, 'session_login.html')


# home頁面
@login_auth
def session_home(request):
    if request.method == "GET":
        return render(request, 'session_home.html')


# book页面
@login_auth
def session_book(request):
    if request.method == "GET":
        return render(request, 'session_book.html')


# 退出登入
@login_auth
def session_logout(request):
    request.session.flush()
    return redirect('session_login_name')

• 路由层(urls.py)

# 基于session登入认证
path('session_login/', views.session_login,name='session_login_name'),
path('session_home/', views.session_home,name='session_home_name'),
path('session_book/', views.session_book,name='session_book_name'),
path('session_logout/', views.session_logout,name='session_logout_name'),

• 模板层与基于cookie模板层一样

• 测试效果