Django的会话技术：Cookie、Session、Token、三者的区别

最新推荐文章于 2023-10-20 17:03:22 发布
最新推荐文章于 2023-10-20 17:03:22 发布
阅读量933 收藏 16
点赞数 4
分类专栏： Django基础知识 文章标签： django session cookie token
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yuanfate/article/details/107656029
版权

文章目录

一.会话技术

1.介绍

  1. 请求过程Request开始，到Response结束
  2. 连接都是短连接
  3. 延长交互的生命周期
  4. 将关键数据记录下来
  5. Cookie是保存在浏览器端/客户端的状态管理技术
  6. Session是服务器端的状态管理技术
  7. Token是类似于自定义的session

2.详细过程

在浏览器中输入域名url，会经过dns服务器将域名解析成ip返回后，浏览器发送request对象请求给服务器，服务器收到请求后创建一个session对象，该对象会有个session_key的值，服务器会将该值以set_cookie消息头的形式发送给浏览器，浏览器接收到后，会将session_key的变量定义为session_id，session_id会存储在cookie中，当浏览器再次访问时，就会携带着session_id去服务器找对应的数据。
在这里插入图片描述

二.Cookie

1.Cookie介绍

Cookie是一种客户端会话技术，所有数据存储在客户端，其是以key-value进行数据存储层，服务器中是不做任何存储。
其特性：

  1. 支持过期时间
    　　　max_age 毫秒
    　　　expries 具体日期
  2. 根据域名进行cookie存储
  3. 不能跨网站（域名）
  4. 不能跨浏览器
  5. 自动携带本网站的所有cookie
  6. cookie默认不支持中文，base64

Cookie是服务器操作客户端的数据，通过Response进行操作。

2.Cookie基本使用

	设置cookie：response.set_cookie(key,value）
	获取cookie：username =request.COOKIES.get("username")
	删除cookie：response.delete_cookie("username")

登录案例：
（1）执行toCookieLogin跳转到cookieLogin的页面，在页面中输入名字，点击提交
（2）跳转到cookieWelcome页面，显示 欢迎xxx来到英雄联盟
（3）如果登录进入到了cookieWelcome的页面，在欢迎xxx来到英雄联盟的下面有一个退出，点击退出之后，显示欢迎游客来到英雄联盟。
创建主路由：

url(r'^cook/',include('CookieApp.urls')),

创建子路由：

url(r'^toCookieLogin/',views.toCookieLogin),

生成视图函数：

def toCookieLogin(request):
    return render(request,'cookieLogin.html')

创建cookieLogin.html模板：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <h1>登录页面</h1>
</body>
</html>

运行结果：
在这里插入图片描述
编辑登录页面，为避免硬编码，使用反向解析：
修改主路由：

url(r'^cook/',include('CookieApp.urls',namespace='cook')),

创建子路由：

url(r'^cookieLogin/',views.cookieLogin,name='cookieLogin'),

添加表单：

<body>
    <h1>登录页面</h1>
    <form action="{% url 'cook:cookieLogin' %}" method="post">
        <input type="text" name="name">
        <button>登录</button>
    </form>

</body>

生成登录视图函数，并使用反向解析跳转到欢迎视图函数：

def cookieLogin(request):
    name = request.POST.get('name')
    response = redirect(reverse('cook:cookieWelcome'))
    response.set_cookie('name',name)
    return response

创建欢迎的视图函数，跳转到欢迎界面：

url(r'^cookieWelcome/',views.cookieWelcome,name='cookieWelcome'),

def cookieWelcome(request):

    name = request.COOKIES.get('name','游客')

    return render(request,'cookieWelcome.html',context=locals())

创建cookieWelcome.html模板：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <p>欢迎{{ name }}来到英雄联盟</p>
</body>
</html>

运行结果：
在这里插入图片描述

创建退出视图函数，以游客身份跳转到欢迎界面：

url(r'^cookieLogout/',views.cookieLogout,name='cookieLogout'),

def cookieLogout(request):

    response = redirect(reverse('cook:cookieWelcome'))
    response.delete_cookie('name')

    return response

cookWelcome.html模板修改：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <p>欢迎{{ name }}来到英雄联盟</p>
    <br>
    <a href="{% url 'cook:cookieLogout' %}">退出</a>
</body>
</html>

运行结果：
点击前：
在这里插入图片描述
点击后：
在这里插入图片描述

注意：
　　 1.出现403错误，可以在settings里注释掉： ‘django.middleware.csrf.CsrfViewMiddleware’,这一行，也可以在form表单中添加：{% csrf_token %}
　　2.cookie默认不支持中文，输入中文不能正常跳转。

3.Cookie加盐

cookie数据保存在浏览器中，不安全：
在这里插入图片描述
所以我们可以对cookie进行加密，也就是俗称的cookie加盐

创建子路由：

url(r'^setCookieSalt/',views.setCookieSalt),
url(r'^getCookieSalt/',views.getCookieSalt,name='getCookieSalt'),

加密：
生成视图函数：

def setCookieSalt(request):
    response = redirect(reverse('cook:getCookieSalt'))

    response.set_signed_cookie('name','abc',salt='xxxxxxx')

    return response

解密：
生成视图函数：

def getCookieSalt(request):
    #获取的是加盐之后的数据
    name1 = request.COOKIES.get('name')
    print(name1)   #abc:1k0iSI:6tggbpd7vlIomnKt14hZ4NR-MIk
    #获取的是解密之后数据
    name = request.get_signed_cookie('name',salt='xxxxxxx')
    print(name)    #abc
    return HttpResponse('getCookieSalt')

运行结果：
在这里插入图片描述
在这里插入图片描述

salt是参数，其实加不加它，都一样。。。

4.Cookie过期时间

通过Response将cookie写到浏览器上，下一次访问，浏览器会根据不同的规则携带cookie过来
　　max_age:整数，指定cookie过期时间 单位秒
　　expries:整数，指定过期时间，还支持是一个datetime或 timedelta，可以指定一个具体日期时间
　　max_age和expries两个选一个指定
　　过期时间的几个关键时间
　　　　max_age 设置为 0 浏览器关闭失效
　　　　设置为None永不过期
　　　　expires=timedelta(days=10) 10天后过期
案例：

def cookieLogin(request):
    name = request.POST.get('name')
    response = redirect(reverse('cook:cookieWelcome'))
    response.set_cookie('name',name,max_age=30)
    return response

上面设置了30秒cookie过期

三.Session

1.Session介绍

session是一种服务端会话技术，数据都存储在服务端，默认存在内存 RAM，在django被持久化到了数据库中，该表叫做Django_session，这个表中有三个字段，分别为seesion_key、session_data、expris_date。
Django中Session的默认过期时间是14天，支持过期，主键是字符串，默认做了数据安全，使用了BASE64
　　- 使用的base64之后，那么这个字符串会在最后面添加一个==
　　- 在前部添加了一个混淆串
session依赖于cookie

2.Session基本使用

设置session：   request.session["username"] = username
获取session：   username = request.session.get("username")
删除session：
                del request.session['username']
                    cookie是脏数据
                response.delete_cookie('sessionid')
                    session是脏数据
                request.session.flush()
		            冲刷，删除当前的会话数据并删除会话的cookie

登录案例，如cookie一样：
创建主路由：

url(r'^sess/',include('SessApp.urls')),

创建子路由：

url(r'^toSessionLogin/',views.toSessionLogin),

生成视图函数：

def toSessionLogin(request):
    return render(request,'SessionLogin.html')

创建SessionLogin.html模板：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <h1>session登陆</h1>
</body>
</html>

运行结果：
在这里插入图片描述
编辑登录页面，为避免硬编码，使用反向解析：
修改主路由：

url(r'^sess/',include('SessApp.urls',namespace='sess')),

创建子路由：

url(r'^sessionLogin/',views.sessionLogin,name='sessionLogin'),

添加表单：

<body>
    <h1>session登陆</h1>
    <form action="{% url 'sess:sessionLogin' %}" method="post">
        <input type="text" name="name">
        <input type="submit" value="提交">
    </form>
</body>

生成登录视图函数，并使用反向解析跳转到欢迎视图函数：

def sessionLogin(request):
    name = request.POST.get('name')
    request.session['name'] = name
    return redirect(reverse('sess:sessionWelcome'))

创建欢迎的视图函数，跳转到欢迎界面：

url(r'^sessionWelcome/',views.sessionWelcome,name='sessionWelcome'),

def sessionWelcome(request):
    name = request.session.get('name','游客')
    return render(request,'sessionWelcome.html',context=locals())

创建sessionWelcome.html模板：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <p>欢迎{{ name }}来到英雄联盟</p>
</body>
</html>

运行结果：
在这里插入图片描述
创建退出视图函数，以游客身份跳转到欢迎界面：

url(r'^sessionLogout/',views.sessionLogout,name='sessionLogout'),

def sessionLogout(request):
    request.session.flush()
    return redirect(reverse('sess:sessionWelcome'))

sessionWelcome.html模板修改：

<!DOCTYPE html>
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <p>欢迎{{ name }}来到英雄联盟</p>
    <br>
    <a href="{% url 'sess:sessionLogout' %}">退出</a>
</body>
</html>

运行结果：
点击前：
在这里插入图片描述
点击后：
在这里插入图片描述

三.Token

1.token介绍

Token 的中文意思是“令牌”。其被认为是自定义的session又或者被认为是加密的唯一字符串，主要用来身份验证。 Facebook，Twitter，Google+，Github 等大型网站都在使用。比起传统的身份验证方法，Token 有扩展性强，安全性高的特点，非常适合用在 Web 应用或者移动应用上,如果使用在移动端或客户端开发中，通常以Json形式传输，服务端会话技术，自定义的Session，给他一个不能重复的字符串，数据存储在服务器中。

2.流程

使用基于 Token的身份验证方法，在服务端不需要存储用户的登录记录。大概的流程是这样的：

  1. 客户端使用用户名跟密码请求登录
  2. 服务端收到请求，去验证用户名与密码
  3. 验证成功后，服务端会签发一个Token，再把这个Token发送给客户端
  4. 客户端收到Token以后可以把它存储起来，比如放在 Cookie里或者Local Storage里
  5. 客户端每次向服务端请求资源的时候需要带着服务端签发的Token
  6. 服务端收到请求，然后去验证客户端请求里面带着的Token，如果验证成功，就向客户端返回请求的数据

3.python常用Token生成方法

（1）binascii.b2a_base64(os.urandom(16))[:-1]
使用举例：

import binascii
import os
# os.urandom()返回一个二进制字节的值
print(os.urandom(16))

a = binascii.b2a_base64(os.urandom(16))[:-1]
print(a)

运行结果：

b'<\xce-\x85\xde\x19\x17=\x96D\x10\xa8H\x0f\r\xef'
b'BFXLsD5TMNVc/46wl2PDnA=='

总结：这种算法的优点是性能快， 缺点是有特殊字符， 需要加 replace 来做处理。

（2）sha1(os.urandom(16)).hexdigest()
使用举例：

import hashlib
import os

a = hashlib.sha1(os.urandom(16)).hexdigest()
print(a)

运行结果：

3014646c141cbff7fcf5d7eb2263f495fe709874

总结：这种算法的优点是安全，不需要做特殊处理。缺点是覆盖范围差一些。

（3）uuid4().hex
使用举例：

import uuid
a = uuid.uuid4().hex
print(a)

运行结果：

382ffb9b87ee4c1d91a5ae3ca6d94fa9

总结：Uuid使用起来比较方便， 缺点为安全性略差一些。

（4）base64.b32encode(os.urandom(20))/base64.b64encode(os.urandom(24))
使用举例：

import base64
import os
a = base64.b32encode(os.urandom(20))
print(a)

b = base64.b64encode(os.urandom(24))
print(b)

运行结果：

b'7KTWWTZMTL3I2D4H63MDCV4GHI6MMTR7'
b'+oHbnv5OOB6sRfOdOOrSNyNjvfXJnQLN'

总结：
　　可以用base64的地方，选择binascii.b2a_base64是不错的选择
　　根据W3的SessionID的字串中对identifier的定义，SessionID中使用的是base64，但在Cookie的值内使用需要注意“=”这个特殊字符的存在；
　　如果要安全字符（字母数字），SHA1也是一个不错的选择，性能也不错；

4.Token应用

import time
import base64
import hmac


# 生产token
def generate_token(key, expire=3600):
    r'''''
        @Args:
            key: str (用户给定的key，需要用户保存以便之后验证token,每次产生token时的key 都可以是同一个key)
            expire: int(最大有效时间，单位为s)
        @Return:
            state: str
    '''
    ts_str = str(time.time() + expire)
    ts_byte = ts_str.encode("utf-8")

    sha1_tshexstr = hmac.new(key.encode("utf-8"), ts_byte, 'sha1').hexdigest()
    token = ts_str + ':' + sha1_tshexstr
    b64_token = base64.urlsafe_b64encode(token.encode("utf-8"))
    return b64_token.decode("utf-8")


# 验证token
def certify_token(key, token):
    token_str = base64.urlsafe_b64decode(token).decode('utf-8')
    token_list = token_str.split(':')
    if len(token_list) != 2:
        return False
    ts_str = token_list[0]
    if float(ts_str) < time.time():
        # token expired
        return False
    known_sha1_tsstr = token_list[1]
    sha1 = hmac.new(key.encode("utf-8"), ts_str.encode('utf-8'), 'sha1')
    calc_sha1_tsstr = sha1.hexdigest()
    if calc_sha1_tsstr != known_sha1_tsstr:
        # token certification failed
        return False
        # token certification success
    return True


key = "YFater"
print("key：", key)
user_token = generate_token(key=key)

print("加密后：", user_token)


user_de = certify_token(key=key, token=user_token)
print("验证结果：", user_de)
#
key = "yFater"
user_de = certify_token(key=key, token=user_token)
print("验证结果：", user_de)

运行结果：

key： YFater
加密后： MTU5NjAzMDcwNy42NzI2OTI4OmZkMWIxN2UzY2VmOGYxYTdjNDcxZTVmOGVhNmJlNWUyNzc2ZjY3NTQ=
验证结果： True
验证结果： False

四.三者区别

1.cookie与session的区别

（1）cookie数据存放在客户端上，session数据放在服务器上。
（2）cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗，考虑到安全应当使用session。
（3）session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能，考虑到减轻服务器性能方面，应当使用COOKIE

2.session与token的区别

（1）作为身份认证 token安全性比session好，因为每个请求都有签名还能防止监听以及重放攻击
（2）Session 是一种HTTP存储机制，目的是为无状态的HTTP提供的持久机制。Session 认证只是简单的把User 信息存储到Session 里，因为SID 的不可预测性，暂且认为是安全的。这是一种认证手段。 但是如果有了某个User的SID,就相当于拥有该User的全部权利.SID不应该共享给其他网站或第三方.
（3）Token，如果指的是OAuth Token 或类似的机制的话，提供的是 认证 和 授权 ，认证是针对用户，授权是针对App。其目的是让 某App有权利访问 某用户 的信息。这里的 Token是唯一的。不可以转移到其它 App上，也不可以转到其它用户上。

奋斗的源
关注
  • 4
    点赞
  • 踩
  • 16
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
django之Cookie、Session、Token
Shawn派大星
04-21 461
一.Cookie、Session、Token的由来 我们知道HTTP协议无连接的, 也就是不保存用户的状态信息 早期(十几年前)的网页是静态的, 数据都是写死的, 人们访问网页只是用来查看新闻的, 没有保存用户状态的需求 而往后出现了像论坛、博客、网购这一类需要保存用户信息的网站, 如果网站不保存用户的状态信息, 意味着用户每次访问都需要重新输入用户名和密码, 这无疑对用户的体验是极其不好的 于是, 就出现了会话跟踪技术, 我们可以把它理解为客户端与服务端之间的一次会晤, 一次会晤包含的多次请求与响应, 每
django 中cookie与session的理解与区别
DayDayUp
08-01 624
cookie与session的理解与区别 cookie与session的理解与区别 Cookie概念 Session概念 区别： Cookie概念 ​ 在浏览某些 网站 时,这些网站会把 一些数据存在 客户端 , 用于使用网站 等跟踪用户,实现用户自定义 功能. 是否设置过期时间: 如果不设置 过期时间,则表示这个 Cookie生命周期为 浏览器会话...
Django---Cookie/Session机制详解与区别
菜鸟可以飞的博客
03-29 1377
会话（Session）跟踪是Web程序中常用的技术，用来跟踪用户的整个会话。常用的会话跟踪技术是Cookie与Session。Cookie通过在客户端记录信息确定用户身份，Session通过在服务器端记录信息确定用户身份。本章将系统地讲述Cookie与Session机制，并比较说明什么时候不能用Cookie，什么时候不能用Session。1.1  Cookie机制在程序中，会话跟踪是很重要的事情。...
【Django】session和token区别 | DRF token
Marianas Trench
04-26 227
有关 Session 的那些事儿，希望我这篇冗长的内容能讲清楚：较详细的解释了Session是什么，稍微提到一点Session和Token，JWT的关系/区别 Session的状态是存储在服务器端，客户端只有session id；而Token的状态是存储在客户端 ...
Python Django Web 框架会话技术（Cookie、Session、Token）
理想的博客
07-22 340
一，什么是会话技术 Web浏览器和服务器之间的所有通信，都是通过HTTP协议进行的，该协议是无状态，短连接的。协议无状态的事实，意味着客户端和服务器之间的消息，完全相互独立 没有基于先前消息的“序列”或行为的概念。 会话：浏览器访问服务器端，发送多次请求，接受多次响应。直到有一方断开连接。会话结束。 解决问题：可以使用会话技术，在一次会话的多次请求之间共享数据。 通俗的说，因为Http协议是一个无状态协议，两次登录之间没有任何联系，想让它们之间有关系，就有了会话技术。也就是相当于变相延长了请求周期而且保存
Django框架会话技术实例分析【Cookie与Session】
09-19
### Django框架会话技术详解：Cookie与Session 在Web开发中，会话管理是一个非常重要的环节，它确保了用户在多次交互过程中能够被系统正确识别。对于使用Django框架进行开发的应用程序而言，掌握如何有效地利用...
解决Django提交表单报错:CSRF token missing or incorrect的问题
09-17
3. **浏览器cookie问题**：CSRF令牌存储在用户的session cookie中。如果浏览器禁用了cookies或者不接受来自服务器的cookies，Django将无法获取到CSRF令牌。 4. **令牌不匹配**：每次用户登录后，Django可能会生成新...
Django+JWT实现Token认证的实现方法
09-19
首先，我们需要理解传统登录鉴权和基于Token的鉴权的区别。传统的登录鉴权通常涉及用户提交账号和密码，服务器验证后在服务器端存储用户信息，并返回一个session id给客户端，客户端将此session id存储在cookie中。...
Django 使用 cookie 实现简单的用户管理功能
10-16
因此，在实际的用户管理系统中，通常会结合session和cookie使用，session存储敏感信息，cookie仅用来保存session_id，以保持用户会话。 总的来说，Django通过cookie实现简单的用户管理功能，涉及到了模型定义、视图...
Django-Social-website:用户登录
03-31
Django自带了一套完整的用户认证系统，它包括了用户模型(User model)、用户会话(session)、登录与注销流程、密码管理等功能。默认的用户模型位于`django.contrib.auth.models`模块中，名为`User`。该模型包含了...
Django中的Cookie、Session、Token
weixin_30770783的博客
12-10 260
Cookie :指望着为了辨别用户身份、进行会话跟踪而存储在用户本地的数据（通常经过加密），是由服务端生成，发送给客户端浏览器，浏览器会将Cookie以key/value保存，下一请求同一网站是就发送该Cookie给服务器 Django中写cookie: response.set_cookie(键,值,max_age=秒), 默认浏览器关闭过期 Django读cookie:...
Django-Cookie、Session与Token
Orangeric
08-06 151
会话技术 1、应用场景 服务器如何识别客户端 Http在Web开发中基本都是短连接 2、请求生命周期 从Request开始 到Response结束 3、种类 (1)Cookie ①客户端会话技术：数据储存在客户端 ②键值对存储 ③支持过期时间 ④默认Cookie自动携带，本网站所有Cookie ⑤Cookie通常不跨域名，不跨网站 Cookie通过HttpResponse操作 Coo...
【Django】Django中cookies、session和token实现demo
weixin_42115131的博客
07-19 739
本文介绍了cookies、session、token原理和django实现方法。
Django用户登录，Cookie应用，ToKen应用，Django自带加密应用
python 熊猫
04-03 397
Settings里设置Django自带加密：settings.py里增加如下代码 PASSWORD_HASHERS = [ 'django.contrib.auth.hashers.PBKDF2PasswordHasher', 'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher', 'django.contrib....
【django项目后台开发】Token和Session的区别、Token的生成方式（1）
python全栈
05-17 1084
一、什么是JWT Json web token (JWT), 是为了在⽹络应⽤环境间传递声明⽽执⾏的⼀种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适⽤于分布式站点的单点登录（SSO）场景。JWT的声明⼀般被⽤来在身份提供者和服务提供者间传递被认证的⽤户身份信息，以便于从资源服务器获取资源，也可以增加⼀些额外的其它业务逻辑所必须的声明信息，该token也可直接被⽤于认证，也可被加密。 二、token的认证和传统的session认证的区别 1、传统的session认证
Python 框架学习 Django篇 (五) Session与Token认证
最新发布
默子昂
10-20 2851
需要验证请求的cookie里面是否有sessionid，并且检查session表，看看是否存在session_key为该sessionid 的一条记录，该记录的数据字典里面是否 包含了 usertype 为 mgr 的 数据，我们可以把前面数据库增删改查视为我们的主页，只需要从主页函数调用之前去做下检查即可。
Cookie和Session区别
bookstdion的博客
04-23 566
cookie的存活时间 ，默认就是浏览器关闭就释放内存销毁cookie。session的存活时间默认就是30分钟，时间一到自动销毁。服务器性能：cookie不占服务器资源，session占用服务器资源。存储时间：cookie可以长期存储，session默认30分钟。cookie是保证用户在未登录的情况下身份识别。存储位置：cookie存在客户端，session存在服务端。数据大小：cookie最大3kb，session无大小限制。安全性：cookie不安全，session安全。
66.基于Django学习会话技术
m0_63953077的博客
11-22 468
基于Django学习会话技术_cookie\session
Cookie、session和token的区别（token和session对比选型）
热门推荐
西京刀客
08-28 1万+
分清楚JWT,JWS与JWE 一篇文章带你分清楚JWT,JWS与JWE 参考URL: https://blog.csdn.net/weixin_37569048/article/details/86677165
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值