阿里云-云小站(无限量代金券发放中)
【腾讯云】云服务器、云数据库、COS、CDN、短信等热卖云产品特惠抢购

cookie操作

316次阅读
没有评论

共计 3261 个字符,预计需要花费 9 分钟才能阅读完成。

一、说明

  • 概述

    会话控制 用来保持用户的状态 具体来说 cookie 机制采用的是在客户端保持状态的方案

  • 原因

    http 协议是无状态的

    每一次请求都是一次新的请求,不会记得之前的通信状态

  • 值的存储

    cookie 存储在客户端的浏览器 一般会限制存储 cookie 的个数为 20 个 并且单个 cookie 保存值的大小不能超过 4kb 存储在浏览器上为明文存储 所以不安全

二、设置

  • 方法

    set_cookie(name, value, domain=None, expires=None, path=’/’, expires_days=None)

    参数说明

    参数名 说明
    name cookie 名
    value cookie 值
    domain 提交 cookie 时匹配的域名
    path 提交 cookie 时匹配的路径
    expires cookie 的有效期,可以是时间戳整数、时间元组或者 datetime 类型,为 UTC 时间
    expires_days cookie 的有效期,天数,优先级低于 expires

    示例

    import time class IndexHandler(RequestHandler): def get(self): self.set_cookie("name", "lucky") self.set_cookie("age", "18", path="/new", expires=time.strptime("2020-03-04 23:59:59","%Y-%m-%d %H:%M:%S")) self.set_cookie("sex", "man", expires_days=20) # 利用 time.mktime 将本地时间转换为 UTC 标准时间 self.set_cookie("info", "lucky_info", expires=time.mktime(time.strptime("2020-03-04 23:59:59","%Y-%m-%d %H:%M:%S"))) self.write("OK")

    结果

cookie 操作
原理

设置 cookie 实际就是通过设置 header 的 Set-Cookie 来实现的

cookie 操作

class IndexHandler(RequestHandler): def get(self): self.set_header("Set-Cookie", "lucky=lucky_boy; expires=Wed, 04 Mar 2020 15:59:59 GMT; Path=/") self.write("OK")

三、获取

  • 方法

    get_cookie(name, default=None) 获取名为 name 的 cookie,可以设置默认值

    示例

    class IndexHandler(RequestHandler): def get(self): name = self.get_cookie("name") self.write(name)

四、删除

  • 方法

    clear_cookie(name) 删除名为 name 的 cookie

    clear_all_cookies() 删除所有 cookie

  • 示例

    class ClearOneCookieHandler(RequestHandler): def get(self): self.clear_cookie("name") self.write("OK") class ClearAllCookieHandler(RequestHandler): def get(self): self.clear_all_cookies() self.write("OK")
  • 注意

    执行清除 cookie 操作后,并不是立即删除了浏览器中的 cookie,而是给 cookie 值置空,并改变其有效期使其失效。真正的删除 cookie 是由浏览器去清理的

五、安全 Cookie

  • 说明

    Cookie 是存储在客户端浏览器中的,很容易被篡改。Tornado 提供了一种对 Cookie 进行简易加密签名的方法来防止 Cookie 被恶意篡改

    使用安全 Cookie 需要为应用配置一个用来给 Cookie 进行混淆的秘钥 cookie_secret,将其传递给 Application 的构造函数。我们可以使用如下方法来生成一个随机字符串作为 cookie_secret 的值

    示例

    >>> import base64, uuid >>> base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes) '2hcicVu+TqShDpfsjMWQLZ0Mkq5NPEWSk9fi0zsSt3A='
  • 扩展

    • Base64 是一种基于 64 个可打印字符来表示二进制数据的表示方法。由于 2 的 6 次方等于 64,所以每 6 个比特为一个单元,对应某个可打印字符。三个字节有 24 个比特,对应于 4 个 Base64 单元,即 3 个字节需要用 4 个可打印字符来表示
    • uuid, 通用唯一识别码(英语:Universally Unique Identifier,简称 UUID),是由一组 32 个 16 进制数字所构成(两个 16 进制数是一个字节,总共 16 字节),因此 UUID 理论上的总数为 1632=2128,约等于 3.4 x 10^38。也就是说若每纳秒产生 1 兆个 UUID,要花 100 亿年才会将所有 UUID 用完。
    • uuid 模块的 uuid4()函数可以随机产生一个 uuid 码,bytes 属性将此 uuid 码作为 16 字节字符串。
  • 使用

    将生成的 cookie_secret 传入 Application 构造函数

    app = tornado.web.Application([(r"/", IndexHandler),], cookie_secret = "2hcicVu+TqShDpfsjMWQLZ0Mkq5NPEWSk9fi0zsSt3A=" )

六、获取和设置

  • 方法

    • set_secure_cookie(name, value, expires_days=30) 设置一个带签名和时间戳的 cookie,防止 cookie 被伪造
    • get_secure_cookie(name, value=None, max_age_days=31) 如果 cookie 存在且验证通过,返回 cookie 的值,否则返回 None。max_age_day 不同于 expires_days,expires_days 是设置浏览器中 cookie 的有效期,而 max_age_day 是过滤安全 cookie 的时间戳
  • 示例

    class IndexHandler(RequestHandler): def get(self): cookie = self.get_secure_cookie("count") count = int(cookie) + 1 if cookie else 1 self.set_secure_cookie("count", str(count)) self.write('<html><head><title>Cookie 计数器 </title></head>' '<body><h1> 您已访问本页 %d 次。</h1>' % count + '</body></html>' )

    我们看签名后的 cookie 值:

    "2|1:0|10:1476412069|5:count|4:NQ==|cb5fc1d4434971de6abf87270ac33381c686e4ec8c6f7e62130a0f8cbe5b7609"
    
  • 字段说明

    • 安全 cookie 的版本,默认使用版本 2,不带长度说明前缀
    • 默认为 0
    • 时间戳
    • cookie 名
    • base64 编码的 cookie 值
    • 签名值,不带长度说明前缀
  • 注意

    Tornado 的安全 cookie 只是一定程度的安全,仅仅是增加了恶意修改的难度。Tornado 的安全 cookies 仍然容易被窃听,而 cookie 值是签名不是加密,攻击者能够读取已存储的 cookie 值,并且可以传输他们的数据到任意服务器,或者通过发送没有修改的数据给应用伪造请求。因此,避免在浏览器 cookie 中存储敏感的用户数据是非常重要的

  • 过程

    • 写 cookie 过程:

    ​ 将值进行 base64 加密
    ​ 对除值以外的内容进行签名,哈希算法(无法逆向解析)
    ​ 拼接 签名 + 加密值

    • 读 cookie 过程:

    ​ 读取 签名 + 加密值
    ​ 对签名进行验证
    ​ base64 解密,获取值内容

正文完
星哥玩云-微信公众号
post-qrcode
 0
星锅
版权声明:本站原创文章,由 星锅 于2022-05-26发表,共计3261字。
转载说明:除特殊说明外本站文章皆由CC-4.0协议发布,转载请注明出处。
【腾讯云】推广者专属福利,新客户无门槛领取总价值高达2860元代金券,每种代金券限量500张,先到先得。
阿里云-最新活动爆款每日限量供应
评论(没有评论)
验证码
【腾讯云】云服务器、云数据库、COS、CDN、短信等云产品特惠热卖中