tornado设置关闭浏览器之后自动清除cookie

其实, 关闭浏览器之后, 自动清除cookie, 和tornado并没有特别强的关系.

wiki百科里对这个事情是这么解释的: http://en.wikipedia.org/wiki/HTTP_cookie#Implementation

The cookie setter can specify a deletion date, in which case the cookie will be removed on that date. If the cookie setter does not specify a date, the cookie is removed once the user quits his or her browser.

也就是说, 只要不设置你发给浏览器的cookie的过期时间, 浏览器已关闭, cookie将会自动清除干净.

好吧, 现在回到tornado, tornado和cookie还是有一点点关系的, 也不全是浏览器的事情.

torndao设置cookie有俩函数, 一个是set_cookie, 另一个是set_secure_cookie, 实际上, set_secure_cookie, 最后是调用了set_cookie.

前几天, 我没设置cookie的过期时间, 关掉浏览器, 再打开, 还是登录状态, 然后问题来了, 怎么让他登录之后, 不主动点击注销链接, 只是关闭浏览器, 下次就需要再次登录呢?


然后我想, 肯定是cookie的事情了. 就要了解如何设置cookie的过期时间.


经过查资料和前端后端同时调试, cookie过期我会了, 我设置用户登录之后, cookie15分钟过期, 结果15分钟之后, 真的过期了, 真过期了, 过期了, ...




然后我忽然觉得, 我觉得如果在浏览的时候, 浏览一次, 应该延长15分钟的, 为啥设置好了15分钟, 然后继续浏览, 按说, 只要在浏览, 应该不会过期, 为毛浏览15分钟之后, 就过期了, 就要重新登录?


你说你哼着歌, 吃着火锅, 正浏览的高兴了, 突然一下就退出了, 要你登录....


接下来继续调试, 我把时间设置为1分钟过期, 然后我就不停的刷新, 结果1分钟之后, 还是注销了


我分析了, cookie浏览器这边管理, 浏览器15分钟后主动清除了cookie, 我这边服务器就判断用户注销了, 然后要求用户登录.


可是我想要的是: 只要用户在访问, 就延长cookie的过期时间, 但现在是15分钟之后失效. 


可能我需要每次用户访问, 都设置cookie的过期时间为本次刷新之后15分钟, 这样就感觉很烦.


网上找到个资料:
http://stackoverflow.com/questions/12383697/tornado-secure-cookie-expiration-aka-secure-session-cookie


tornado的set_secure_cookie 默认使用了过期时间为30天, 结果关闭浏览器就是不能自动退出


然后需要设置 expires_days=None 给这个函数, 就可以设置为用户关闭浏览器的时候, 自动清除cookie了


这个看了C#的一个问题, wiki百科里提到: 如果不设置cookie的过期时间, 浏览器的默认操作是, 用户关闭浏览器, 则该网站的cookie就自动被清空
然后set_secure_cookie 这个函数默认使用了30天的过期时间


set_secure_cookie 其实也不是很安全的cookie, 存储的内容是base64转个码而已, 另外加了验证和签名, 虽然存储的内容不能伪造了, 但是可以查看, 觉得还是有点不安全.


http://stackoverflow.com/questions/1783302/clear-cookies-on-browser-close
这个c#的问题里, wiki百科提到了关闭浏览器, 自动清除cookie的事情.




有人跟我提到session的事情, 我现在没做session, 都是基于cookie处理的


django里的session就是基于cookie的
不过他是存了个seesion_id在浏览器这边
然后这个session_id, 可以设置为浏览器关闭之后, 就自动清除