Django学习笔记第十一篇--关于session

一、session和sessionid：

sessionid是cookie的一个字段，sessionid一般如下：

 """请求报文"""
 """
 GET /myapp1/session/ HTTP/1.1
 Host: 127.0.0.1:8000
 User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:58.0) Gecko/20100101 Firefox/58.0
 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
 Accept-Encoding: gzip, deflate
 Cookie: login_flag=1; login_name=admin; sessionid=wdsj0ug1yuy634xhqn0ln010ghwk3ofr
 Connection: close
 Upgrade-Insecure-Requests: 1
 Cache-Control: max-age=0
 """
 """"""

这里要明确一个session是存在数据库后端的，cookie是存在客户端（用户）本地的。

sessionid 并不只是可以名字是sessionid，也可以是sid，jsessionid，phpsessionid等等，再来看一个百度的：

 """
 GET / HTTP/1.1
 Host: www.baidu.com
 User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:58.0) Gecko/20100101 Firefox/58.0
 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
 Accept-Encoding: gzip, deflate
 Cookie: BAIDUID=8078C92C8DB5E9579911B40A626F655F:FG=1; BIDUPSID=8078C92C8DB5E9579911B40A626F655F; PSTM=1516783068; BD_HOME=0; H_PS_PSSID=1441_18194_21116_20928
 Connection: close
 Upgrade-Insecure-Requests: 1
 Cache-Control: max-age=0
 """

来看看相关session的配置文件：

 #配置setting.py

 SESSION_COOKIE_NAME ＝ "sessionid"      # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）

 SESSION_COOKIE_PATH ＝ "/"              # Session的cookie保存的路径（默认）

 SESSION_COOKIE_DOMAIN = None             # Session的cookie保存的域名（默认）

 SESSION_COOKIE_SECURE = False          # 是否Https传输cookie（默认）

 SESSION_COOKIE_HTTPONLY = True         # 是否Session的cookie只支持http传输（默认）

 SESSION_COOKIE_AGE = 1209600             # Session的cookie失效日期（2周）（默认）

 SESSION_EXPIRE_AT_BROWSER_CLOSE = False    # 是否关闭浏览器使得Session过期（默认）

 SESSION_SAVE_EVERY_REQUEST = False        # 是否每次请求都保存Session，默认修改之后才保存（默认）

针对这些配置讲解如何才能更安全：

1、session的路径建议单独保存，切不可再web服务上直接范文。

2、对应的域要配置

3、https肯定要支持

4、过期时间建议不超过2h

5、关闭浏览器过期是必须的

服务器端需要用的很多东西就可以存储在session中而不是sessionid中！例如可以验证码的值存储在sessionid中

例如一个验证码：

可以通过某种图片方式传递到客户端，然后服务器端存储在session中，等待请求报文发过来验证：

 def verify(request):
     if request.method != 'POST':
         s = uuid.uuid1()
         s = str(s)
         content = {}
         content["code"] = s
         request.session["verifycode"] = s
         return render(request,"verify.html",content)
     else:
         if request.POST["code"] == request.session["verifycode"]:
             user = request.COOKIES.get("login_name")
             print user
             print request.COOKIES
             if user == None:
                 return HttpResponseRedirect("/myapp1/login")
             response = HttpResponseRedirect("/myapp1/mainpage?name=%s"%user)
             response.set_cookie("login_flag","")
             return response

可以总结出session的存取：

 #session的读：
 request.session["key_name"]
 #或者：
 request.session.get("key_name")
 request.session.get("key_name",None)

 #session的写：
 session["key"] = value

 """
 在Django中要用session中一定要先执行：

 python manage.py makemigrations

 python manage.py migrate
 """

其他操作：

 request.session.setdefault('k1',123)  #存在则不设置
 del request.session['k1']  #删除键值对
 request.session.clear()    #删除session

 #所有 键、值、键值对
 request.session.keys()
 request.session.values()
 request.session.items()
 request.session.iterkeys()
 request.session.itervalues()
 request.session.iteritems()

 #用户session的随机字符串
 request.session.session_key
 #将所有Session失效日期小于当前日期的数据删除
 request.session.clear_expired()
 #检查 用户session的随机字符串 在数据库中是否
 request.session.exists("session_key")
 #删除当前用户的所有Session数据
 request.session.delete("session_key")
 request.session.set_expiry(value)
 #默认的过期时间是两周，如果自己设置了过期时间，这样自己设定的优先级就会高于默认的
 #如果value是个整数，session会在些秒数后失效。
 #如果value是个datatime或timedelta，session就会在这个时间后失效。
 #如果value是0,用户关闭浏览器session就会失效。
 #如果value是None,session会依赖全局session失效策略。