Django的 Session 框架
由于存在的限制与安全漏洞，cookies和持续性会话已经成为Web开发
的隐患，Django自带的session框架会帮你搞定这些问题，你可以用session 框架来存取每个访问者任意数据， 这些数据在服务器端存储，并对cookie的收发进行了抽象。 Cookies只存储数据的哈希会话ID，而不是数据本身，从而避免了大部分的常见cookie问题。
开启Sessions功能
Sessions 功能是通过一个中间件和一个模型来实现的。 要打开sessions功能，需要以下几步操作：
-
确保 MIDDLEWARE_CLASSES 中包含 'django.contrib.sessions.middleware.SessionMiddleware'。
-
确保 INSTALLED_APPS 中有 'django.contrib.sessions' (如果你是刚打开这个应用，别忘记同步数据库 )
正常情况下，你无需任何设置就可以使用session功能。
在视图中使用Session
SessionMiddleware 激活后，每个传给视图(view)函数的第一个参数HttpRequest对象都有一个 session 属性，这是一个字典型的对象。 你可以象用普通字典一样来用它：
# Set a session value:
request.session["fav_color"] = "blue"
# Get a session value -- this could be called in a different view,
# or many requests later (or both):
fav_color = request.session["fav_color"]
# Clear an item from the session:
del request.session["fav_color"]
# Check if the session has a given key:
if "fav_color" in request.session:
其他的映射方法，如 keys() 和 items() 对 request.session 同样有效
字典的keys() values() items()方法
字典的items(), keys(), values()都返回一个list
dict = { 1 : 2, 'a' : 'b', 'hello' : 'world' }
dict.values()
['b', 2, 'world']
dict.keys()
['a', 1, 'hello']
dict.items()
[('a', 'b'), (1, 2), ('hello', 'world')]
用正常的字符串作为key来访问字典 request.session ， 而不是整数、对象或其它什么的。Session字典中以下划线开头的key值是Django内部保留key值
看一个简单的例子：在用户发了一次评论后将has_commented设置为True。 这是个简单（但不很安全）的、防止用户多次评论的方法。
def post_comment(request):
if request.method != 'POST':
raise Http404('Only POSTs are allowed')
if 'comment' not in request.POST:
raise Http404('Comment not submitted')
if request.session.get('has_commented', False):
return HttpResponse("You've already commented.")
c = comments.Comment(comment=request.POST['comment'])
c.save()
request.session['has_commented'] = True
return HttpResponse('Thanks for your comment!')
一个很简单的站点登录视图(view):在实践中，这是很烂的用户登录方式，稍后讨论的认证(authentication )框架会帮你以更健壮和有利的方式来处理这些问题。 这些非常简单的例子只是想让你知道这一切是如何工作的。
def login(request):
if request.method != 'POST':
raise Http404('Only POSTs are allowed')
try:
m = Member.objects.get(username=request.POST['username'])
if m.password == request.POST['password']:
request.session['member_id'] = m.id
return HttpResponseRedirect('/you-are-logged-in/')
except Member.DoesNotExist:
return HttpResponse("Your username and password didn't match.")
def logout(request):
try:
del request.session['member_id']
except KeyError:
pass
return HttpResponse("You're logged out.")
设置测试Cookies
你不能指望所有的浏览器都可以接受cookie。 因此，为了使用方便，Django提供了一个简单的方法来测试用户的浏览器是否接受cookie。 你只需在视图(view)中调用 request.session.set_test_cookie()
，并在后续的视图(view)，而不是当前的视图(view)中检查 request.session.test_cookie_worked()
def login(request):
# If we submitted the form...
if request.method == 'POST':
# Check that the test cookie worked (we set it below):
if request.session.test_cookie_worked():
# The test cookie worked, so delete it.
request.session.delete_test_cookie()
# In practice, we'd need some logic to check username/password
# here, but since this is an example...
return HttpResponse("You're logged in.")
# The test cookie failed, so display an error message. If this
# were a real site, we'd want to display a friendlier message.
else:
return HttpResponse("Please enable cookies and try again.")
# If we didn't post, send the test cookie along with the login form.
request.session.set_test_cookie()
return render_to_response('foo/login_form.html')
Django Session工作原理：
下面是一些关于session框架内部工作方式的技术细节：
-
session 字典接受任何支持序列化的Python对象。 参考Python内建模块pickle的文档以获取更多信息。
-
Session 数据存在数据库表 django_session 中
-
Session 数据在需要的时候才会读取。 如果你从不使用 request.session ， Django不会动相关数据库表的一根毛。
-
Django 只在需要的时候才送出cookie。 如果你压根儿就没有设置任何会话数据，它不会 送出会话cookie(除非 SESSION_SAVE_EVERY_REQUEST 设置为 True )。
-
Django session 框架完全而且只能基于cookie。 它不会后退到把会话ID编码在URL中（像某些工具(PHP,JSP)那样）。这是一个有意而为之的设计。 把session放在URL中不只是难看，更重要的是这让你的站点 很容易受到攻击（通过 Referer header进行session ID”窃听”而实施的攻击）
如果你还是好奇，阅读源代码是最直接办法，django.contrib.sessions 。
在视图(View)外使用Session：
from django.contrib.sessions.models import Session
s = Session.objects.get(pk='2b1189a188b44ad18c35e113ac6ceead')
s.expire_date
datetime.datetime(2005, 8, 20, 13, 35, 12)
s.session_data
'KGRwMQpTJ19hdXRoX3VzZXJfaWQnCnAyCkkxCnMuMTExY2ZjODI2Yj...'
s.get_decoded() #需要使用get_decoded() 来读取实际的session数据，因为字典存储为一种特定的编码格式
{'user_id': 42}
何时保存Session:
缺省的情况下，Django只会在session发生变化的时候才会存入数据库，比如说，字典赋值或删除。你可以设置 SESSION_SAVE_EVERY_REQUEST 为 True 来改变这一缺省行为。Django会在每次收到请求的时候保存session，即使没发生变化。
会话cookie只会在创建和修改的时候才会送出。 但如果 SESSION_SAVE_EVERY_REQUEST 设置为 True ，会话cookie在每次请求的时候都会送出。 同时，每次会话cookie送出的时候，其 expires 参数都会更新。
浏览器关闭即失效会话 vs 持久会话:
缺省情况下， SESSION_EXPIRE_AT_BROWSER_CLOSE 设置为 False ，这样，会话cookie可以在用户浏览器中保持有效达 SESSION_COOKIE_AGE 秒（缺省设置是两周）。 如果你不想用户每次打开浏览器都必须重新登陆的话，用这个参数来帮你。
如果 SESSION_EXPIRE_AT_BROWSER_CLOSE 设置为 True ，当浏览器关闭时，Django会使cookie失效。
影响cookie行为的设置:
| 设置 | 缺省值 | 描述 |
|---|---|---|
| SESSION_COOKIE_DOMAIN | 使用会话cookie（session cookies）的站点。 将它设成一个字符串，就好象“.example.com” 以用于跨站点（cross-domain）的cookie，或None 以用于单个站点。 |
None |
| SESSION_COOKIE_NAME | 会话中使用的cookie的名字。 它可以是任意的字符串 | "sessionid" |
| SESSION_COOKIE_SECURE | 是否在session中使用安全cookie。 如果设置 True , cookie就会标记为安全， 这意味着cookie只会通过HTTPS来传输。 | False |
网友评论