Tornado的cookie过期问题

首先，web应用程序是使用HTTP协议进行数据传输，因为HTTP协议是无状态的，所以一旦提交数据完成后，客户端和服务器端的连接就会被关闭，再次进行数据的交换就得重新建立新的连接，那么，有个问题就是服务器无法通过连接来跟踪用户的会话。接下来，对于Session和Cookie这个技术就出来了。

简单介绍一下Session和Cookie：

　　Session：通过在服务器端记录用户信息从而来确认用户身份，保存在服务器上，每个用户会话都有一个对应的session

　　Cookie：通过在客户端记录信息确认身份，客户端浏览器会把Cookie保存起来，当再次访问的时候，把该Cookie一同提交给服务器，就可以进行用户的辨认了

工作时，需要对Tornado的Cookie设置过期时间，然后对于Tornado来说，查看源码得知对Cookie的处理有4个方法。

下面给出4个方法的源码：

　　版本说明： Tornado版本为4.4.2

a. get_cookie()

def get_cookie(self, name, default=None):
    """Gets the value of the cookie with the given name, else default."""
    if self.request.cookies is not None and name in self.request.cookies:
        return self.request.cookies[name].value
    return default

可以从源码注释中容易的明白，其为获取cookie的方法，通过给予参数name后拿到cookie的值

b. set_cookie()

def set_cookie(self, name, value, domain=None, expires=None, path="/",
               expires_days=None, **kwargs):
    """Sets the given cookie name/value with the given options.

    Additional keyword arguments are set on the Cookie.Morsel
    directly.
    See http://docs.python.org/library/cookie.html#morsel-objects
    for available attributes.
    """
    # The cookie library only accepts type str, in both python 2 and 3
    name = escape.native_str(name)
    value = escape.native_str(value)
    if re.search(r"[\x00-\x20]", name + value):
        # Don't let us accidentally inject bad stuff
        raise ValueError("Invalid cookie %r: %r" % (name, value))
    if not hasattr(self, "_new_cookie"):
        self._new_cookie = Cookie.SimpleCookie()
    if name in self._new_cookie:
        del self._new_cookie[name]
    self._new_cookie[name] = value
    morsel = self._new_cookie[name]
    if domain:
        morsel["domain"] = domain
    if expires_days is not None and not expires:
        expires = datetime.datetime.utcnow() + datetime.timedelta(
            days=expires_days)
    if expires:
        morsel["expires"] = httputil.format_timestamp(expires)
    if path:
        morsel["path"] = path
    for k, v in kwargs.items():
        if k == 'max_age':
            k = 'max-age'

        # skip falsy values for httponly and secure flags because
        # SimpleCookie sets them regardless
        if k in ['httponly', 'secure'] and not v:
            continue

        morsel[k] = v

这个是对Cookie的设置方法，看到expires和expires_days似乎就是我们所要用到的过期时间的设置项

c. get_secure_cookie()

def get_secure_cookie(self, name, value=None, max_age_days=31,
                      min_version=None):
    """Returns the given signed cookie if it validates, or None.

    The decoded cookie value is returned as a byte string (unlike
    `get_cookie`).

    .. versionchanged:: 3.2.1

       Added the ``min_version`` argument.  Introduced cookie version 2;
       both versions 1 and 2 are accepted by default.
    """
    self.require_setting("cookie_secret", "secure cookies")
    if value is None:
        value = self.get_cookie(name)
    return decode_signed_value(self.application.settings["cookie_secret"],
                               name, value, max_age_days=max_age_days,
                               min_version=min_version)

这个get_secure_cookie()也是获取cookie的方法，但是和上面的get_cookie()不同在于这个cookie值是一个加密的字符串，通过加密传输，但是get_cookie()是明文进行传输的，然后还注意到有一个参数 max_age_day=31,这个可以结合下面set_secure_cookie进行理解

d. set_secure_cookie()

def set_secure_cookie(self, name, value, expires_days=30, version=None,
                      **kwargs):
    """Signs and timestamps a cookie so it cannot be forged.

    You must specify the ``cookie_secret`` setting in your Application
    to use this method. It should be a long, random sequence of bytes
    to be used as the HMAC secret for the signature.

    To read a cookie set with this method, use `get_secure_cookie()`.

    Note that the ``expires_days`` parameter sets the lifetime of the
    cookie in the browser, but is independent of the ``max_age_days``
    parameter to `get_secure_cookie`.

    Secure cookies may contain arbitrary byte values, not just unicode
    strings (unlike regular cookies)

    .. versionchanged:: 3.2.1

       Added the ``version`` argument.  Introduced cookie version 2
       and made it the default.
    """
    self.set_cookie(name, self.create_signed_value(name, value,
                                                   version=version),
                    expires_days=expires_days, **kwargs)

通过查看该方法，我们可以发现，其实该方法就是对第一个set_cookie的进一步封装，通过注释可以知道：要使用这个方法对cookie进行设置，必须在项目的Application中，定义一个“cookie_secret” --> 这个cookie_secret应该是随机的，并且长字符串，当然你可以设置成你自己定义的固定的字符串。然后还有一个参数expires_days特别需要值得注意，这里如果我们不进行设置的话，cookie的过期时间将为30天，当然，这个跟get_secure_cookie中的max_age_day是相互独立的。

接下来，我们通过源码分析后，我们想对cookie设置过期时间，只需要在set_secure_cookie()函数中，将expires_day进行重写就可以了。

这里需要注意一下几点，是我在设置过程中踩过的坑，记录下来：

　　1.这个设置过期时间的参数 expires_day，如果想以秒作为过期单位的话，应该这样写：expires_day = time.time() + 对应的秒数

　　2.如果想设置，关闭浏览器就清楚cookie的话，应该这样设置,将过期时间重写置空：expires_day = None

　　3.这个问题，也是我遇到最蛋疼的问题，当时，我设置后，设置关闭浏览器清楚cookie一直无法失效，还一度怀疑是tornado对于chorme浏览器的bug，之后发现了解决办法，请看图：

　　　　

　　　　就是因为chrome这个设置选项，默认是勾选了“关闭浏览器后继续运行后台应用”，所以我每次关闭浏览器打开后cookie永远不会失效。(Ubuntu系统，不同ps去查看系统进程的话根本发现不了没有关闭chrome的进程)

最后总结一下，Session和Cookie在整个项目中具体的设置和开发方法：

两种状态：

　　1.对于登陆是会话级别的，就是在系统上面一直有操作的，可以自定义cookie的过期时间

　　2.对于客户端来说，选择关闭浏览器就清楚cookie

开发方法：

　　1.对于登陆是会话级别，当用户一直有操作的时候，我们不能让cookie直接过期，所以我们在调用set_secure_cookie时，应该设置expires_day=None（关闭浏览器直接过期，如果expires_day后面有过期时间的话，会导致用户在操作途中直接cookie过期而要求重新登陆）；

　　2.然后，我们如何保持用户在没有操作的一段时间后进行过期呢？ 这就要看我们的记录在服务器端的session了，一般我们会把服务器端的session存储在memcache、redis等缓存服务器中，然后设置相应的缓存过期时间，每次当用户在系统上面有操作，有请求发生的时候，我们就重写缓存，重置session的过期时间，当用户一段时间没有操作的时候，存储在缓存中的session就会过期被清除，当用户再次发送请求后发现无法找到对应的session，从而让用户无法进行相应的操作客户端会提示重新登陆。这样子，就可以实现当用户有操作就不过期，没有操作就在一定的时间断内过期要求用户重新登陆了。