开发者社区> 任平生78> 正文

cookie和session的那些事

简介: 对于经常网购的朋友来说,经常会遇到一种情况: 打开淘宝或京东商城的首页,输入个人账号和密码进行登陆,然后进行购物,支付等操作都不需要用户再次输入用户名和密码 但是如果用户换一个浏览器或者等几个小时后再刷新这些网页进行购物操作,就必须要再次输入用户名和密码了.
+关注继续查看

对于经常网购的朋友来说,经常会遇到一种情况:
打开淘宝或京东商城的首页,输入个人账号和密码进行登陆,然后进行购物,支付等操作都不需要用户再次输入用户名和密码
但是如果用户换一个浏览器或者等几个小时后再刷新这些网页进行购物操作,就必须要再次输入用户名和密码了.

这是为什么呢??这就用到了cookiesession的知识了.

1. cookie的简介

1、http是无状态协议,cookie不属于http协议范围.

在实际应用中,服务端与客户端需要保持连接状态,此时就需要使用到cookie.

cookie的工作原理是:由服务器产生客户端身份信息发送给客户端,客户端收到信息后保存在本地;
当客户端浏览器再次访问服务端时,会自动带上这段身份信息,服务器通过这段信息来判断客户端的身份。

打开chrome浏览器,在地址栏里输入www.cnblogs.com,回车在检查中可以的信息如下图所示:

img_258b0605a495e3f6eb035943bcc7a9d4.png

其中,可以看到此次的请求头(Request Headers):

Accept:text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Accept-Encoding:gzip, deflate, br
Accept-Language:zh-CN,zh;q=0.8
Cache-Control:max-age=0
Connection:keep-alive
Cookie:__gads=ID=ec125291e23201fe:T=1504664243:S=ALNI_MZTHHsRs1K2HAD8kB_Q7zN777zCMA
Host:www.cnblogs.com
If-Modified-Since:Sat, 09 Sep 2017 12:38:59 GMT
Upgrade-Insecure-Requests:1
User-Agent:Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36

在这些信息里,可以看到cookie信息是包含在请求头里的.
浏览器发请求的时候,会从浏览器中取出cookie附加到请求头上,给服务端发过去.服务端接收到客户端的cookie之后,会给客户端返回相应的信息.

还可以看到服务端的响应头(Response Headers):

Cache-Control:public, max-age=19
Connection:keep-alive
Content-Encoding:gzip
Content-Type:text/html; charset=utf-8 
Date:Sat, 09 Sep 2017 12:42:16 GMT
Expires:Sat, 09 Sep 2017 12:42:36 GMT
Last-Modified:Sat, 09 Sep 2017 12:42:06 GMT
Transfer-Encoding:chunked
Vary:Accept-Encoding
X-Frame-Options:SAMEORIGIN
X-UA-Compatible:IE=10  

2、cookie在一定程度上解决了"保持状态"的需求

由于cookie本身最大支持4096字节,并且cookie保存在客户端,可能被拦截或窃取,
因此需要有一种新的东西,它来弥补cookie的一些缺陷,并且保存在服务端,有较高的安全性,这就是session。

基于http协议的无状态特征,服务器不知道访问者的身份,此时cookie就起到桥接的作用。

服务端给每个客户端的cookie分配一个唯一的随机id,用户在访问服务端时,服务器通过cookie来判断客户端的身份。

服务端根据cookie的id的不同,在一定的期限内保存客户端传送过来的账号密码等关键信息.

3、cookie弥补了http无状态的不足,让服务器能够判断客户端的身份;

cookie以文本的形式保存在本地,自身安全性较差,因此服务端通过cookie识别不同的用户,对应的在session里保存私密的信息以及超过4096字节的文本。

4、cookie和session其实是共通性的东西,不限于语言和框架

2.cookie和session的工作机制

每当我们使用一款浏览器访问一个登陆页面的时候,一旦我们通过了认证,服务器端就会发送一组随机唯一的字符串(假设是123abc)到浏览器端.
这个被存储在浏览器端的东西就叫cookie。而服务器端也会存储一下用户当前的状态,比如login=trueusername="name"之类的用户信息。
这种信息是以字典形式存储成为一个字符串,这串字符串以用户第一次请求时得到的cookie值为键,这就是session.

那么如果在服务器端查看session信息的话,理论上就会看到如下样子的类似的字典
{'123abc':{'login':true,'username':'hahaha'}}

因为每个cookie都是唯一随机的,所以我们在同一台电脑上换个浏览器再登陆同一个网站也需要再次验证。

那么为什么说我们只是理论上看到这样子类似的字典呢?因为处于安全性的考虑,其键和值在服务器端都会被加密。

所以我们服务器上就算打开session信息看到的也是类似与以下样子的东西:

{'123abc':dasdasdasd1231231da1231231}

3.cookie和session的初步使用

例子:制作一个登陆页面,服务端使用cookie和session验证了用户名和密码后才能跳转到后台的页面。

3.1 首先创建一个Django的项目,配置好urls和settings,templates中创建一个login.html和index.html页面

views中的代码:

def index(request):
    return render(request,"index.html")

def login(request):
    print("cookie:",request.COOKIES)#打印cookie信息
    if request.method=="POST":#如果浏览器使用post方式提交信息
        name=request.POST.get("username")
        pwd=request.POST.get("password")
        if name=="hello" and pwd=="123456":
            return redirect("/index/")

    return render(request,"login.html")

login页面:

<form action="/login/" method="post">
    <p>姓名<input type="text" name="username"></p>
    <p>密码<input type="password" name="password"></p>
    <p><input type="submit"></p>
</form>

index页面:

<h3>welcome to index page</h3>

打开浏览器,输入http://127.0.0.1:8000/login/打开login页面,输入正确的用户名和密码,进入index页面
此时可以在后端看到如下的cookie信息

cookie: {'csrftoken': 'AdkajMM65wOqa0NONe6dVwYqphGNDOgMbuzstmAy92HJ3GxRWUNpqXKJFXBv1Rn5', 
'sessionid': '7jfj6uqbz6vylplfv429bhfdxh14iwfp'}

其中sessionid中的信息就是Django分配给浏览器的一段随机字符串.

3.2 由用户自己设置cookie信息

修改login视图函数:

def login(request):
    print("cookie:",request.COOKIES)
    if request.method=="POST":
        name=request.POST.get("username")
        pwd=request.POST.get("password")
        if name=="hello" and pwd=="123456":
            res=redirect("/index/")
            res.set_cookie("login_message","hello python")#设置cookie信息
            return res
    return render(request,"login.html")

然后重启应用,重新输入用户名和密码,进入index页面,此时可以看到如下的cookie信息:

cookie: {'csrftoken': 'AdkajMM65wOqa0NONe6dVwYqphGNDOgMbuzstmAy92HJ3GxRWUNpqXKJFXBv1Rn5', 
'sessionid': '7jfj6uqbz6vylplfv429bhfdxh14iwfp', 'login_message': 'hello python'}   

可以看到在后端的login视图函数中设置的cookie的键值对,浏览器请求后又会被服务端接收.

用户请求页面时,是带着标示自己的身份信息的,服务端对客户端的身份信息进行判断,只有身份正确,才能进入index页面.
但是如果在浏览器的地址中直接输入index的路由地址,也能进入index的页面的情况,这不符合我们的要求.

3.3 实现客户端没有cookie,即使用户输入index路由信息,服务端发送登录页面给用户

如果客户端没有cookie,说明用户名或密码没有验证成功,服务端就会把login页面发送给客户端浏览器,
只有用户输入正确的用户名和密码,服务端才会把index页面发送给客户端浏览器.

修改index视图函数:

def index(request):
    if request.COOKIES.get("login_message")=="hello python":
        return render(request,"index.html",locals())
    else:
        return redirect("/login/")

这样用户在一个浏览器中经过验证进入index.html页面后,清除cookie或者更换一个浏览器再想进入index页面,就要再次验证用户名和密码了.

由于用户的cookie信息保存在客户端,每与服务端通信一次,客户端就要把cookie信息发送经服务端一次,而且保存在客户端也不够安全,所以又出现了session
session也保存客户端身份的信息,用户登录后服务端把表示用户身份的信息保存成以键值对形式存在的session中,然后服务端把这个字典发送给客户端的cookie,

这时客户端的cookie就以一个字符串的形式存在.

客户端使用cookie和session与服务端进行通信的步骤:

用户经过用户名和密码验证登陆后,生成一个字典,将字典存入session,session的key是自动生成一段字符串标识,也就是前面说过的cookie.
服务端返回给客户端session,session的value存储了用户的关键信息,如user和iflogin等.

在Django中用到session时,cookie由服务端随机生成,写到浏览器的cookie中,每个浏览器都有自己的cookie值,是session寻找用户信息的唯一标识

每个浏览器请求到后台接收的request,这时的session等价于标识用户身份信息的字典

3.4 使用cookie加session来完成上面的例子

修改views中的login视图函数

def login(request):
    print("cookie:",request.COOKIES)
    print("session:",request.session)

    if request.method=="POST":
        name=request.POST.get("username")
        pwd=request.POST.get("password")
        if name=="hello" and pwd=="123456":

            res=redirect("/index/")
            res.set_cookie("login_message","hello python")
            return res

    return render(request,"login.html")

再次刷新浏览器,输入正确的用户名和密码后,打印cookie和session:

cookie: {'csrftoken': 'AdkajMM65wOqa0NONe6dVwYqphGNDOgMbuzstmAy92HJ3GxRWUNpqXKJFXBv1Rn5', 
'sessionid': '7jfj6uqbz6vylplfv429bhfdxh14iwfp', 'login_message': 'hello python'}

session: <django.contrib.sessions.backends.db.SessionStore object at 0x00000000043D7D30>

可以看到的是此时的session是一个对象.

知道了cookie和session的情况后,那么该怎么使用cookie和session呢

修改视图函数

def index(request):
    if request.session.get("is_login",None):#获取session中用户登录的信息
        name=request.session.get("user")#获取session中的用户名
        return render(request,"index.html",locals())
    else:
        return redirect("/login/")

def login(request):
    print("cookie:",request.COOKIES)
    print("session:",request.session)

    if request.method=="POST":
        name=request.POST.get("username")
        pwd=request.POST.get("password")
        
        if name=="hello" and pwd=="123456":
            request.session["is_login"]=True
            request.session["user"]=name
            return redirect("/index/")
    return render(request,"login.html")

先使用

python manage.py makemigrations
python manage.py migrate

命令初始化数据库,
然后在浏览器中输入http://127.0.0.1:8000/index/后,直接进入登录页面了,输入正确的用户名和密码,后端会打印如下信息:

cookie: {}
session: <django.contrib.sessions.backends.db.SessionStore object at 0x00000000043B46D8>

4 cookie和session的用法:

4.1 操作cookie

获取cookie            request.COOKIE[key]
设置cookie            response.set_cookie(key,value)

由于cookie保存在客户端的电脑上,所以jQuery也可以操作cookie

在上面的例子中,在html页面中就使用Django的语法可以渲染name变量.

设置cookie的失效时间:

import datetime#导入datetime模块

response.set_cookie("username",{"11":"22"},max_age=10,
    expires=datetime.datetime.utcnow()+datetime.timedelta(days=3))

其中:

datetime.datetime.utcnow()表示当前时间
datetime.timedelta(days=3)表示3天

上面的代码表示设置cookie在当前时间的3天后失效

4.2 操作session(session默认在服务端保存15天)

获取session       request.session[key]或者request.session.get(key)
设置session       request.session[key]=value
删除session       del request.session[key]

需要注意的是,删除服务端的session不会删除数据库中的session_data,而只是把session更新为一个其他的值

设置session的失效时间:

request.session.set_expiry(value)是设置session的失效时间

参数说明:

如果value是一个整数,session会在整数称后失效
如果value是个datatime或者timedelta,session会在这个时间之后失效
如果value是0,用户关闭浏览器后session就会失效
如果value是None,session会依赖全局session的失效策略

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
阿里云ECS云服务器初始化设置教程方法
阿里云ECS云服务器初始化是指将云服务器系统恢复到最初状态的过程,阿里云的服务器初始化是通过更换系统盘来实现的,是免费的,阿里云百科网分享服务器初始化教程: 服务器初始化教程方法 本文的服务器初始化是指将ECS云服务器系统恢复到最初状态,服务器中的数据也会被清空,所以初始化之前一定要先备份好。
14078 0
阿里云服务器安全组设置内网互通的方法
虽然0.0.0.0/0使用非常方便,但是发现很多同学使用它来做内网互通,这是有安全风险的,实例有可能会在经典网络被内网IP访问到。下面介绍一下四种安全的内网互联设置方法。 购买前请先:领取阿里云幸运券,有很多优惠,可到下文中领取。
18278 0
阿里云服务器怎么设置密码?怎么停机?怎么重启服务器?
如果在创建实例时没有设置密码,或者密码丢失,您可以在控制台上重新设置实例的登录密码。本文仅描述如何在 ECS 管理控制台上修改实例登录密码。
19057 0
使用OpenApi弹性释放和设置云服务器ECS释放
云服务器ECS的一个重要特性就是按需创建资源。您可以在业务高峰期按需弹性的自定义规则进行资源创建,在完成业务计算的时候释放资源。本篇将提供几个Tips帮助您更加容易和自动化的完成云服务器的释放和弹性设置。
18526 0
使用SSH远程登录阿里云ECS服务器
远程连接服务器以及配置环境
11596 0
如何设置阿里云服务器安全组?阿里云安全组规则详细解说
阿里云安全组设置详细图文教程(收藏起来) 阿里云服务器安全组设置规则分享,阿里云服务器安全组如何放行端口设置教程。阿里云会要求客户设置安全组,如果不设置,阿里云会指定默认的安全组。那么,这个安全组是什么呢?顾名思义,就是为了服务器安全设置的。安全组其实就是一个虚拟的防火墙,可以让用户从端口、IP的维度来筛选对应服务器的访问者,从而形成一个云上的安全域。
16802 0
阿里云服务器如何登录?阿里云服务器的三种登录方法
购买阿里云ECS云服务器后如何登录?场景不同,阿里云优惠总结大概有三种登录方式: 登录到ECS云服务器控制台 在ECS云服务器控制台用户可以更改密码、更换系.
23909 0
+关注
152
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
OceanBase 入门到实战教程
立即下载
阿里云图数据库GDB,加速开启“图智”未来.ppt
立即下载
实时数仓Hologres技术实战一本通2.0版(下)
立即下载