Cookie与Session组件

一. Cookie与Session

1. 发展史

1.网站都没有保存用户功能的需求 所有用户访问返回的结果都是一样的
    eg:新闻、博客、文章...
2.出现了一些需要保存用户信息的网站
    eg:淘宝、支付宝、京东...
 
以登陆功能为例:如果不保存用户登陆状态 也就意味着用户每次访问网站都需要重复的输入用户名和密码(你觉得这样的网站你还想用吗？)
当用户第一次登陆成功之后 将用户的用户名密码返回给用户浏览器 让用户浏览器保存在本地，之后访问网站的时候浏览器自动将保存在浏览器上的用户名和密码发送给服务端，服务端获取之后自动验证
早起这种方式具有非常大的安全隐患
 
优化:
    当用户登陆成功之后，服务端产生一个随机字符串(在服务端保存数据,用kv键值对的形式)，交由客户端浏览器保存
    随机字符串1:用户1相关信息
    随机字符串2:用户2相关信息
    随机字符串3:用户3相关信息
    之后访问服务端的时候，都带着该随机字符串，服务端去数据库中比对是否有对应的随机字符串从而获取到对应的用户信息
 
但是如果你拿到了截获到了该随机字符串，那么你就可以冒充当前用户 其实还是有安全隐患的
 
你要知道在web领域没有绝对的安全也没有绝对的不安全

2. 掌握: cookie,session 了解: token,jwt

# cookie
    服务端保存在客户端浏览器上的信息都可以称之为cookie
    它的表现形式一般都是k:v键值对(可以有多个)
# session
    数据是保存在服务端的并且它的表现形式一般也是k:v键值对(可以有多个)
 
 
# token
    session虽然数据是保存在服务端的 但是禁不住数据量大
    服务端不再保存数据
    登陆成功之后 将一段用户信息进行加密处理(加密算法之后你公司开发知道)
    将加密之后的结果拼接在信息后面 整体返回给浏览器保存
    浏览器下次访问的时候带着该信息 服务端自动切去前面一段信息再次使用自己的加密算法
    跟浏览器尾部的密文进行比对
 
# jwt认证
    三段信息

3. 总结

1. cookie是存在于浏览器上的. 保存形式以key:value键值对的形式
2. session是存在于服务端的.  django中保存在django_session表中. key: 对应session_key字段.  value: 对应session_data  还有一个session_date用来保存终止会话时间
3. session是基于cookie工作的. 在django中session会告知浏览器以sessionid:随机字符的格式保存数据

二. Cookie

1. 简介

# 提示: 虽然cookie是服务端告诉客户端浏览器需要保存内容. 但是客户端浏览器可以选择拒绝保存
    如果禁止了 那么 只要是需要记录用户状态的网站登陆功能都无法使用了.
cookie操作范围: cookie只能在HttpResponse, render, redirect后面进行操作
    obj1 = HttpResponse()
    # 操作cookie
    return obj1
 
    obj2 = render()
    # 操作cookie
    return obj2
 
    obj3 = redirect()
    # 操作cookie
    return obj3
 
# 设置cookie:
    obj.set_cookie('key', value)
    # 加盐设置
    obj.set_signed_cookie('key', value, salt='盐')
# 获取cookie:
    request.COOKIES.get('key')
    # 获取加盐
    obj.get_signed_cookie('key', salt='盐')
    
# 设置cookie超时时间:  两者都是设置超时时间的 并且都是以秒为单位
    obj.set_cookie('key', value, max_age=3)
    obj.set_cookie('key', value, expires=3)   # 针对IE浏览器需要使用expires
    
# 删除cookie:
    obj.delete_cookie('key')

2. 需求: 利用cookie实现登陆验证

from functools import wraps
 
def auth(func):
    @wraps
    def wrapper(request, *args, **kwargs):
        if request.COOKIES.get('username') == 'egon666':
            return func(request, *args, **kwargs)
        target_url = request.get_full_path()
        # print(request.path)
        # print(request.get_full_path())  # 能够获取到用户没登时输入对应的url, 跳转到登录页面以后, 在登录成功以后想要访问的页面
        '''
        这里推荐用get_full_path(). 因为如果用户登录请求url是: /func/?username=egon&password=123等参数
        在登录以后redirect(target_url) 就等同于 redirect('/func/?username=egon&password=123')
        于此同时参数也在重新向的时候会被保存. 所以推荐使用.
        '''
        return redirect(f'/login/?next={target_url}')
 
    return wrapper
 
 
def login(request):
    '''
    用户如果在没有登陆的情况下想访问一个需要登陆的页面
    那么先跳转到登陆页面 当用户输入正确的用户名和密码之后
    应该跳转到用户之前想要访问的页面去 而不是直接写死
    '''
    if request.method == 'POST':
        username = request.POST.get('username')
        password = request.POST.get('password')
        if username == 'egon' and password == '123':
            # 获取用户上一次想要访问的url
            target_url = request.GET.get('next')   # 这个结果可能是None
            if target_url:
                # 保存用户登陆状态
                obj = redirect(target_url)
            else:
                obj = redirect('/home')
            # 登录以后让浏览器记录cookie数据, 在用户下一次登陆时就无需重复进行登录验证
            obj.set_cookie('username', 'egon666')
            # obj.set_cookie('username', 'egon666', max_age=3)  # 超时时间3秒到期
            # obj.set_cookie('username', 'egon666', expires=3)  #  超时时间3秒到期(IE浏览器所支持的设置)
            '''
            以上设置了set_cookie以后浏览器不单单会帮你存到本地.
            而且后面每次访问你的时候还会带着它过来, 为的就是无需重复进行登录验证
            '''
            return obj
        return redirect('/login')
    return render(request, 'login.html')
 
 
@auth  # home = wrapper = auth(home)
def home(request):
    # 获取cookie信息 判断你有没有
    # if request.COOKIES.get('username'):
    #     return HttpResponse('这是home页面，只有登陆的用户才能进来哟~')
    # return redirect('/login/?next=/home')
    return HttpResponse('这是home页面，只有登陆的用户才能进来哟~')
 
 
@auth
def index(request):
    # 获取cookie信息 判断你有没有
    # if request.COOKIES.get('username'):
    #     return HttpResponse('这是index页面，只有登陆的用户才能进来哟~')
    # return redirect('/login/?next=/index')
    return HttpResponse('这是index页面，只有登陆的用户才能进来哟~')
 
 
@auth
def func(request):
    # 获取cookie信息 判断你有没有
    # if request.COOKIES.get('username'):
    #     return HttpResponse('这是func页面，只有登陆的用户才能进来哟~')
    # return redirect('/login/?next=/func')
    return HttpResponse('这是func页面，只有登陆的用户才能进来哟~')
 
 
@auth
def logout(request):
    """注销"""
    obj = redirect('/login')
    obj.delete_cookie('username')
    return obj

三. session

1. 简介

'''
注意: session数据是保存在服务端的. 给客户端返回的是一个随机字符串(sessionid:随机字符串)
    在默认情况下操作session的时候需要django默认的一张django_session表.
    当我们执行完毕数据库迁移命令django会自己创建很多表	django_session就是其中的一张
django默认session的过期时间: (面试)
    默认过期时间是14天.
设置session:
    request.session['key'] = value
获取session:
    request.session.get('key')
设置过期时间:
    request.session.set_expiry(value)
    括号内可以放四种类型的参数
    1. 整数              如果value是整数，那么会话将在这个数之后过期. 单位: 秒
    2. 日期对象           如果value是datetime或timedelta对象, 则会话将在特定的未来时间过期。
    3. 0                如果设置为0, 则会话将在浏览器关闭之后过期。
    4. None             如果value是None, 则会使用默认的过期时间14天.
补充1: session是保存在服务端的 但是session的保存位置可以有多种选择
    1.MySQL
    2.文件
    3.redis
    4.memcache
    ....
补充2: django_session表中的数据条数是取决于浏览器的
    同一个计算机上(IP地址)同一个浏览器只会有一条数据生效
    当session过期的时候可能会出现多条数据对应一个浏览器，但是该现象不会持续很久，内部会自动识别过期的数据清除 你也可以通过代码清除
    目的: 主要是为了节省服务端数据库资源
    
思路拓展: 有时候如果多个视图函数都需要使用到一些数据的话，你也可以考虑将该数据存储到django_session表中，方便后续的使用.
'''
def set_session(request):
    """
    1. 先在django内部自动生成一个随机字符串
    2. django内部会将随机字符串与对应数据存入django_session表中
        2.1 先在内存中产生操作数据的缓存
        2.2 在返回给浏览器经过中间件时才会真正的操作数据库对数据进行保存
    3. 将产生的随机字符串返回给浏览器, 浏览器以sessionid:随机字符串的形式保存
    """
    request.session['username'] = 'jason'
    # request.session.set_expiry(1)
    return HttpResponse('设置session')
 
 
def get_session(request):
    """
    1. 浏览器将sessionid对应的随机字符串提交到后端
    2. 后端拿到随机字符串到django_session表中找到对应的数据
        2.1 如果对比上了 则将对应的数据取出并以字典的形式封装到request.session中
        2.2 如果对比不上 则request.session.get()的返回结果是None
    """
    print(request.session)
    if request.session.get('username') == 'jason':
        return HttpResponse('获取正确的session才能看到的页面哦')
    return HttpResponse('无法登录!')
 
 
def del_session(request):
    # request.session.delete()      # 只删服务端的 客户端的不删
    request.session.flush()         # 浏览器和服务端都清空(推荐使用)
    return HttpResponse('删除服务端的session')

2. 需求: 利用session实现登陆验证

from functools import wraps
 
 
def session_auth(func):
    @wraps
    def wrapper(request, *args, **kwargs):
        if request.session.get('username') == 'egon':
            return func(request, *args, **kwargs)
        target_url = request.get_full_path()
        return redirect('/session_login/?next={}'.format(target_url))
 
    return wrapper
 
 
def session_login(request):
    if request.method == "POST":
        username = request.POST.get('username')
        password = request.POST.get('password')
        if username == 'jason' and password == '123':
            target_url = request.GET.get('next')
            if target_url:
                obj = redirect(target_url)
            else:
                obj = redirect('/session_home')
            request.session['username'] = 'egon'
            return obj
    return render(request, 'session_login.html')
 
 
@session_auth
def session_home(request):
    return HttpResponse('这是session_home页面，只有登陆的用户才能进来哟~')
 
 
@session_auth
def session_index(request):
    return HttpResponse('这是session_index页面，只有登陆的用户才能进来哟~')
 
 
@session_auth
def session_func(request):
    return HttpResponse('这是session_func页面，只有登陆的用户才能进来哟~')
 
 
@session_auth
def session_logout(request):
    """注销"""
    request.session.flush()
    return redirect('/session_login')

四. CBV如何添加装饰器

from django.views import View
from django.utils.decorators import method_decorator
"""
CBV中django不建议你直接给类的方法加装饰器
无论该装饰器能都正常给你 都不建议直接加
"""
 
# @method_decorator(login_auth, name='get')  # 方式2: 可以添加多个针对不同的方法加不同的装饰器
# @method_decorator(login_auth, name='post')
class MyIndex(View):
    @method_decorator(login_auth)            # 方式3: 它会直接作用于当前类里面的所有的方法
    def dispatch(self, request, *args, **kwargs):
        return super().dispatch(request,*args,**kwargs)
    # @method_decorator(login_auth)          # 方式1: 指名道姓
    def get(self,request):
        return HttpResponse("get请求")
 
    def post(self,request):
        return HttpResponse('post请求')

五. 总结

# 什么是cookie和session
    主要是为需要保存状态的网页, 提供状态的保存
 
# cookie和session由来
    因为http协议是无状态的, 对于需要保存状态的网页来说, 是急需要解决的迫在眉睫的问题.
 
    cookie是因为访问一些需要保存状态的网页, 发现每次登录都需要重新输入效验数据, 就算登录以后跳转登录以后的网页, 仍然需要再次输入效验数据.
    基于这种无法保存状态的考虑, 就诞生了cookie, 在用户登录成功以后返回用户名和密码告诉浏览器保存, 浏览器就以key:value对的形式保存, 在下一次访问的
    时候浏览器自带的将这个用户名密码发送给服务端.
 
    session是基于cookie的. 是因为cookie返回这种用户名密码的形式,对于安全性的考虑, 太差了. 因此就在服务端就返回随机字符串给浏览器,
    而服务端只要定制一个随机字符串与用户账号与密码的映射关系即可, 服务端就将这个随机字符串交给浏览器保存, 浏览器就以sessionid:随机字符串的形式保存,
    在下一次访问的时候浏览器自带的将这个随机字符串发送给服务端, 服务端拿到这个随机字符串去效验是否存在,
    存在就可以获取到用户对应的数据, 并将对应的浏览器访问的资源返回即可.
 
# cookie,session
    1. cookie是保存在客户端的. 保留形式是key:value键值对
    2. session是保存在服务端的. 保留形式也是key:value键值对
    3. session是基于cookie的工作的. 大部分保存用户状态的操作都需要用到cookie
 
# cookie
    # 引入: cookie是服务端告知浏览器保存的. 浏览器可以拒绝, 但是那么要想访问需要保存状态的网页, 是不可能的了, 服务器会禁止你登录, 因为你没有其想要的令牌(cookie).
    # 前提: cookie除了获取操, 其余操作作都是在render, HttpResponse, redirect操作之后
        obj =  HttpResponse('xxx')
    # 设置cookie
        obj.set_cookie('key', value)
        # 加盐设置
        obj.set_signed_cookie('key', value, salt='盐')
    # 获取cookie
        request.COOKIES.get('key')
        # 加盐获取
        obj.get_signed_cookie('key', salt='盐')
    # 删除cookie
        obj.delete_cookie('key')
    # 设置过期时间cookie
        obj.set_cookie('key', value, max_age=3)
        obj.set_cookie('key', value, expires=3)   # 针对IE浏览器需要使用expires
 
# session
    # 注意:
        1. session是保留在服务端的. 给浏览器返回sessionid:随机字符串 这种键值对数据.
        2. 操作session需要django在执行第一次数据库迁移命令产生的django_session表.表中有三个字段, 分别是:
            session_key    随机字符串
            session_data   对应的session数据
            expire_date    当前与浏览器会话终止时间. 默认14天
    # 设置session
        request.session[key]=value
    # 获取session
        request.session.get(key)
    # 删除session
        request.session.delete()  # 默认不传参数, 删除当前会话. 删除的服务端的
        request.session.flush()   # 删除当前会话. 先删除的服务端, 再告知浏览器删除. (推荐)
    # 设置session的终止会话时间
        request.session.set_expiry(value)
         1. 整数       如果value是整数，那么会话将在这个数之后过期. 单位: 秒
         2. 日期对象    如果value是datetime或timedelta对象, 则会话将在特定的未来时间过期。
         3. 0          如果设置为0, 则会话将在浏览器关闭之后过期。
         4. None       如果value是None, 则会使用默认的过期时间14天. 或者request.session.set_expiry(value)不写也是默认14天
 
    # session是保存在服务端的, session可以保存的位置可以有多种
        1. db.sqlite
        2. MySQl, oracle, db2, access, sql server
        3. redis, mongodb, mencache
        4. 文件
        ....
 
    # django_session中的每条的数据取决于浏览器
        不同的浏览器 相同的IP 占一条
        相同的浏览器 不同的IP 占一条
        提示: 当session过期时. 会出现多条数据对应一个IP相同的浏览器. 现象不会持久, 内部会在一定时间请理, 你也可以手动请理.
        目的: 节省服务端资源
 
    # 掌握: 设置session发生了那些事
        1. django内部自动生成随机字符串
        2. 将随机字符串与对应的数据一同保存到django_session表中
            2.1 先在内存中生成操作数据的缓存信息
            2.2 在返回给浏览器经过中间件才会操作数据库进行保存
        3. 将随机字符串返回给浏览器. 浏览器以 sessionid:随机字符串 这种键值对形式保存
 
    # 掌握: 获取session发生了那些事
        1. 浏览器将sessionid对应的随机字符串提交到后端
        2. 后端拿到随机字符串到django_session表中查找对应关系
            2.1 如果核对上了 则会将对应的数据取出并封装成字典的形式封装到request.session中
            2.2 如果没核对上 则request.session.get()的结果是None
 
# CBV添加装饰器
    from django.views import View
    from django.utils.decorators import method_decorator
 
    @method_decorator(auth, name='post')
    @method_decorator(auth, name='get')   # 方式二: 单个指定+叠加
    class MyIndex(View):
        @method_decorator(auth)           # 方式三: 全局指定
        def dispatch(self, request, *args, **kwargs): 
            return super().dispatch(request, *args, **kwargs)
 
        @method_decorator(auth)            # 方式一: 单个指定
        def get(self, request):
            return HttpResponse('get请求')
 
        def post(self, request):
            return HttpResponse('post请求')