原地址:http://www.leavesongs.com/PYTHON/webpy-readme.html
web.py是一个开发web应用的python框架,相比于著名的Django与TurboGears,web.py更加让人感觉是用python在写网站。没有复杂的语法规则,简单的一个实现http协议的框架,不依赖其他packet,不依赖操作系统。当然也是有弊端的,框架只实现了基础的web功能,很多功能需要自己动手写,不像php那样一两个函数就搞定任务。
正如我上句话说的,web.py十分简单,安装只需要sudo easy_install web.py即可,不到2秒中,框架已经躺在服务器里了。如果你没有安装easy_install(比如windows环境),也可以手工安装。github上下载源码,直接安装:
1 | python ./setup.py install |
装好以后试一下,import web,没有抛错说明安装成功了。
关于web.py的基础使用方式,一个事例文件hello world即可说明一切:
06 | app = web.application(urls, globals ()) |
12 | return 'Hello, ' + name + '!' |
14 | if __name__ = = "__main__" : |
以上代码保存为app.py,然后运行:python ./app.py
默认会监听8080端口作为web服务运行的端口,访问http://127.0.0.1:8080/即可看到Hello world。
看到事例程序,urls是全局的url规则,'/(.*)'是一个正则,匹配用户访问时的url,'hello'就是处理的类名字。也就是说获得url以后与(.*)匹配,匹配上了就调用hello类处理请求。这里的正则是.*,匹配所有字符,所以用户的一切请求都会交给hello类来处理。
根据MVC架构的思路来想,一般把这个hello类叫做控制器,controller。如果请求很多的时候,不要把所有的控制器类都放在一个文件里。我们可以使用python包,比如每个处理类一个文件,读放在action文件夹下,那么我们的urls就这么写:
2 | '/msg/?' , 'action.msg.msg' , |
3 | '/login(/quit|/)?' , 'action.login.login' , |
4 | '/log/?' , 'action.log.log' , |
5 | '/file/?' , 'action.upload.upload' , |
6 | '.*' , 'action.show.show' |
action是包名字,msg是文件名,后一个msg是类名。
接下来,处理好了url规则,事例文件调用了web.application创建了一个app对象,第一个参数就是urls,第二个参数是globals()的返回值。
然后就可以app.run()了,一切从此时开始。
不过刚才把请求交给hello类来处理,那么我们看看hello类。所有的控制器类,都可以定义两个函数,GET和POST,顾名思义,这两个函数就用来处理get和post请求。也就是说,用户对app的get请求会交给hello类的GET函数,post请求交给POST函数。
GET(POST)函数的参数是urls中正则部分的匹配到的值。例子里的name就是(.*)的值。你访问http://localhost:8080/phithon,就能看到输出了Hello, phithon.
再深一点,在写网站的时候,哪几个部分最重要?无非是数据库增删改查、访问控制(session)、前端(模板)。那么我一个一个来说。
先说说SESSION吧,session是安全区分访问者的唯一的方法,其他方式用户都能够伪造,只有session是用户不能够修改的。所以,我一般会把一些重要信息记录在session中,比如用户是否登录、用户id、用户权限等。php中session就是一个全局的数组$_SESSION,在web.py中,session是web.ctx中的一个对象(关于web.ctx,请查看cookbook)。
我们在应用运行前首先需要获得一个SESSION对象赋值给web.ctx.session:
01 | web.config.session_parameters[ 'cookie_name' ] = 'py_pytalk_sid' |
02 | web.config.session_parameters[ 'cookie_domain' ] = None |
03 | web.config.session_parameters[ 'timeout' ] = 3600 |
04 | web.config.session_parameters[ 'ignore_expiry' ] = True |
05 | web.config.session_parameters[ 'ignore_change_ip' ] = True |
06 | web.config.session_parameters[ 'secret_key' ] = '3u12m8xXo0is' |
07 | web.config.session_parameters[ 'expired_message' ] = 'Session expired' |
08 | session = web.session.Session(app, web.session.DiskStore( 'data/sessions' ), initializer = { 'login' : False }) |
10 | web.ctx.session = session |
11 | app.add_processor(web.loadhook(session_hook)) |
众所周知session是用cookie来传递的,所以cookie_name指这个cookie的名字。timeout指session过期时间,秒为单位。secret_key是salt,加密session id。其他一些设置的意义如下:
cookie_name - name of the cookie used to store the session id
cookie_domain - domain for the cookie used to store the session id
timeout - number of second of inactivity that is allowed before the session expires
ignore_expiry - if True, the session timeout is ignored
ignore_change_ip - if False, the session is only valid when it is accessed from the same ip address that created the session
secret_key - salt used in session id hash generation
expired_message - message displayed when the session expires
我就不再赘述了。通过web.session.Session初始化一个session对象,DiskStore是储存session文件的地址,initializer是session对象初始化内容。最后将新建的这个session对象赋值给web.ctx.session,以后就能够直接调用web.ctx.session来访问session了。
注意,这些设置请在app.run()函数调用前设置好,然后调用app.run()执行程序。以后我们的web.ctx.session的使用就和php中的$_SESSION数组一样了。比如用户登录以后,设置web.ctx.session.uname = '用户名'。访客访问时,判断web.ctx.session.login == True。
关于访问控制,还有一个小技巧。通常一个网站有后台,后台的页面也不止一个,这时候访问控制就是一个大麻烦。
如果后台页面很多,我们不可能在每个页面对应的类中判断web.ctx.session.login是否为真,来判断管理员是否登录。所以我们可以让所有后台页面对应的类都继承一个admin类,然后在admin类的构造函数里加入判断代码:
3 | if not web.ctx.session.login: |
4 | raise web.seeother( '/login' ) |
如果web.ctx.session.login的值非真,就用raise语句抛出一个错误,并跳转到/login页面去登录。如果不停止运行的话,即使调用seeother,但后面的内容还是会被执行,造成了安全隐患。但这里不能用return,return没任何效果,也不能用sys.exit,否则就直接退出整个网站的运行了。raise是一个好方法,可以完美保证后面的代码不被执行。
然后说到数据库。数据库是一个比较容易出漏洞的操作(sql注入),但解决sql注入的方法又是极为简单的(可以说是所有漏洞里最好解决的),那就是参数化查询。web.py提供了一个类似参数化查询的方式,基本可以满足我们日常使用数据库。
首先我们创建一个数据库对象,并连接数据库:
1 | database = 'db/pytalk.db3' |
2 | db = web.database(dbn = 'sqlite' , db = database) |
我使用的sqlite数据库,如果是mysql,方法类似具体看文档。
这个db就是sql对象,我们以后就调用db.query来执行sql语句:
1 | res = db.query( "SELECT * FROM `log` WHERE `sort` = $i AND `keyword` = $search" , vars = { |
用$xxx来占位,然后用一个字典对象来传入数据。这样web.py内部会自动将相应的占位符用具体的数据替代。不知道大家注意没有,$search外面是没打引号的,也就是说web.py会自动帮我加入引号,这也是为什么它能够防范sql注入,因为它能自动处理引号和转义字符。
这样执行sql语句以后,我就再也不用担心注入的问题了,从用户那里获取的数据我直接像这样插入数据库,不用过滤,不用像PHP一样调用addslashes处理了。
query返回值是一个iterbetter对象,这个对象是一个迭代器,但不像列表,它内部维护着一个指向当前元素的指针,这个指针只会往后走。也就是说我调用了一次res[0],下次就必须调用res[1],再访问res[0]就会抛出错误。
所以我们可以简单地将这个值转换成一个列表,之后就方便多了:
1 | res = list (db.query( "SELECT * FROM `log` WHERE `sort` = $i AND `keyword` = $search" , vars = { |
这个列表就是sql语句执行结果,len(res)就是行数,列表中的元素是字典,字典的键是列名,字典的值是列值。
最后说一下模板引擎,也就是关于前端的各种问题。
$def定义一个变量。一般这个变量是一个字典,这样我们把所有模板中可能用到的值都放进字典中,作为一个变量传入。
我在这里定义了两个函数,很大程度上简略了模板操作:
1 | def assign( self ,key,value = ''): |
3 | self .tplData = dict ( self .tplData, * * key) |
5 | self .tplData[key] = value |
7 | def display( self , tplName): |
8 | self .tplData[ 'render' ] = web.template.render( 'templates' , globals = self .globalsTplFuncs) |
9 | return getattr ( self .tplData[ 'render' ], tplName)( self .tplData) |
self.tplData是包含所有变量的字典。我们使用assign来定义模板变量,定义完所有模板变量以后,调用display显示模板。tplName就是模板的名字(模板文件后缀是html),templates是模板文件地址。
globalsTplFuncs是模板函数,比较简单的模板是用不上的。
关于安全性,我强调一点。在模板引擎中,web.py是默认会转义<>"'&等xss字符的,也就是说输出$data['name']的时候会转换这个值再输出。如果你不想自动转义,就在$后面加个冒号,$:data['name']就不会转义了。
什么情况下不想转义,就是模板存在包含的时候(如果转义的话你包含的文件就不是html了)。比如我写一个网站,网站的header一般是不会变的,所以我们最好在模板中创建一个header.html,然后其他模板文件包含之。这就就不用每写一个页面都写html头了。
那么怎么实现包含?看到我之前那个display函数的第一行,就是将web.template.render方法赋值给了tplData['render']变量。然后我们在模板中就能够直接调用$:tplData['render'].header(tplData)来包含header.html,并将tplData传入。
具体代码可以参考我后面给的一个app。
说了这么多,可能有的同学还有不少疑惑。其实千万文字不如几行代码,我把我自己做的一个项目开源出来,相信有什么疑惑的方面,在代码中也能迅速找到解答。如果涉及到代码以外的东西,我们可以私下交流。
已在在线IRC聊天室的小程序。
项目地址:http://phith0n.github.io/Pytalk_Irc
演示地址:http://p1ng.pw:81/