本文共 4414 字，大约阅读时间需要 14 分钟。
Session的基本原理
前面说了， Cookie就是一个类似字典的键值对，把数据保存在客户端上，可以是临时保存在内存中，也可以长期保存在硬盘上。Cookie可以通过后台或者前端的Javascript创建，而且在客户端可以直接看见，因此一些敏感信息不适合放在Cookie里面
和Cookie相对应的，Session则是在用户访问的时候，创建一个随机的字符串，保存在客户端的Cookie里面，默认名是sessionid，然后在服务器端，给这个字符串创建一个键值对，这个字符串的值又可以是一个字典结构，保存所有相关的信息。因此可以这么理解，Session是服务器端的一个巨大的键值对，每一个key都对应一个登录用户的随机字符串，每个key都有自己的value，这个value同样是一个字典，包括这个登录账号的所有信息。
用户访问一个页面的时候，服务器会查看cookie里面的sessionid,然后通过session去查找匹配的key，然后判断是否已经登录。因此Session是依赖于cookie的，无论是cookie清空或者session清空，都会导致需要重新登录创建新的键值对。
Session常见的基本操作
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 | 获取：例如获取值为X的Session键值对，如果没有则返回 None request.session.get( 'X' , None ) 创建或者修改： request.session[ 'X' ] = M 删除： 例如清空整个session request.session.clear() 清空这个session里面的一个key del request.session[ 'key' ] 设置超时时间: 例如：设置 200 秒之后超时，他的默认时间是两周 request.session.set_expire( 200 ) 获取用户的随机字符串: request.session.session_key 将过期的session都删掉: request.session.clear_expired() 获取键值对的值 request.session.keys() request.session.values() request.session.items() |
Session的保存
Django里面，session默认是保存在数据库里面的，因此如果是第一次使用，和通过models配置数据库一样，需要先执行python manage.py makemigrations 和 python manage.py migrate生成对应的表
可以看见他默认生成的表结构大概如下所示
基本的配置文件（默认配置）
| 1 2 3 4 5 6 7 8 9 10 | SESSION_ENGINE = 'django.contrib.sessions.backends.db' # 引擎（默认） SESSION_COOKIE_NAME ＝ "sessionid" # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认） SESSION_COOKIE_PATH ＝ "/" # Session的cookie保存的路径（默认） SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名（默认） SESSION_COOKIE_SECURE = False # 是否Https传输cookie（默认） SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输（默认） SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期（2周）（默认） SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期（默认） SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session，默认修改之后才保存（默认 |
另外Session还可以保存在缓存(memcache),文件，缓存+数据库或者加密的Cookie，他们对应的配置文件略有不同
缓存，默认是memcache,但是有插件可以支持redis
| 1 2 3 4 5 6 7 8 9 10 11 12 | SESSION_ENGINE = 'django.contrib.sessions.backends.cache' # 引擎 SESSION_CACHE_ALIAS = 'default' # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置 SESSION_COOKIE_NAME ＝ "sessionid" # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串 SESSION_COOKIE_PATH ＝ "/" # Session的cookie保存的路径 SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名 SESSION_COOKIE_SECURE = False # 是否Https传输cookie SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输 SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期（2周） SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期 SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session，默认修改之后才保存 |
文件
| 1 2 3 4 5 6 7 8 9 10 11 12 | SESSION_ENGINE = 'django.contrib.sessions.backends.file' # 引擎 SESSION_FILE_PATH = None # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir() # 如：/var/folders/d3/j9tj0gz93dg06bmwxmhh6_xm0000gn/T SESSION_COOKIE_NAME ＝ "sessionid" # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串 SESSION_COOKIE_PATH ＝ "/" # Session的cookie保存的路径 SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名 SESSION_COOKIE_SECURE = False # 是否Https传输cookie SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输 SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期（2周） SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期 SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session，默认修改之后才保存 |
缓存+数据库
| 1 2 | SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db' # 引擎 |
加密cookie
| 1 2 | SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies' # 引擎 |
下面看个简单的登录例子
登录的时候，获取用户名和密码，然后如果正确，设置session的值和超时时间
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 | def login(request): if request.method = = "GET" : return render(request, 'login.html' ) elif request.method = = "POST" : user = request.POST.get( 'user' ) pwd = request.POST.get( 'pwd' ) if user = = 'root' and pwd = = "123" : # session中设置值 request.session[ 'username' ] = user request.session[ 'is_login' ] = True if request.POST.get( 'rmb' , None ) = = '1' : # 超时时间 request.session.set_expiry( 10 ) return redirect( '/index/' ) else : return render(request, 'login.html' ) |
主页显示登录用户信息，如果session超时，显示错误信息
| 1 2 3 4 5 6 7 | def index(request): # session中获取值 print (request.session) if request.session.get( 'is_login' , None ): return render(request, 'index.html' ,{ 'username' : request.session[ 'username' ]}) else : return HttpResponse( 'Session expired' ) |
效果：
登录
主页，Django默认情况下2周内session有效，但是cookie在关闭浏览器之后自动清空
如果查看cookie看见出现了一个sessionid的随机字符串
如果我们登录的时候勾选了10秒超时，10秒后刷新页面会显示已经超时
查看cookie发现对应的sessionid已经消失了