Tornado-cookie和session

cookie

有什么办法能够让浏览器记住登录信息，下次再打开的时候可以自动登录？网站是如何记录登录信息的？

设置cookie

        self.set_cookie('cookie_test','xiaobai') #默认过期时间是浏览器关闭会话时
image.png
self.set_cookie('cookie_test','xiaobai',expires=time.time() + 60) #设置过期时间为60秒
image.png
self.set_cookie('cookie_test','xiaobai',expires_days=1) #设置过期时间1天
image.png
self.set_cookie('cookie_test','xiaobai',path='/test') #设置路径,限定哪些内容需要发送cookie,/表示全部
image.png
image.png
self.set_secure_cookie('cookie_test7','xiaobai') #设置一个加密的cookie,但是必须在下面的application里面添加cookie_secret = 'test'，才可以

----
self.set_secure_cookie('cookie_test7','xiaobai') #设置一个加密的cookie,但是必须在下面的application里面添加cookie_secret = 'test'，才可以

----
cookie_secret = 'test', #密码 通过这个将上面cookie内容进行加密
image.png

获取cookie

get_cookie6 = self.get_cookie('cookie_test6') #获取一般的cookie
get_cookie7 = self.get_secure_cookie('cookie_test7') #获取加密的cookie
image.png

整个代码示例：

import tornado.httpserver
import tornado.ioloop
import tornado.options
import tornado.web

import util.ui_methods
import util.ui_modules
import time

from tornado.options import define,options

define('port', default= 8080, help='run port', type=int)

class SetCookieHander(tornado.web.RequestHandler):
    def get(self):
        self.set_cookie('cookie_test1','xiaobai') #默认过期时间是浏览器关闭会话时
        self.set_cookie('cookie_test2','xiaobai',expires=time.time() + 60) #设置过期时间为60秒
        self.set_cookie('cookie_test3','xiaobai',expires_days=1) #设置过期时间1天
        self.set_cookie('cookie_test4','xiaobai',path='/test') #设置路径,限定哪些内容需要发送cookie,/表示全部
        self.set_cookie('cookie_test5','xiaobai',httponly=True) #设置js不能获取cookie
        self.set_cookie('cookie_test6','xiaobai',max_age=120,expires=time.time()+60) ##max_age优先级比expires高，前面为120s，所以根据前面的来
        self.set_secure_cookie('cookie_test7','jiami') #设置一个加密的cookie,但是必须在下面的application里面添加cookie_secret = 'test'，才可以

        self.write('set cookie')


class GetCookieHander(tornado.web.RequestHandler):
    def get(self):
        get_cookie6 = self.get_cookie('cookie_test6') #获取一般的cookie
        get_cookie7 = self.get_secure_cookie('cookie_test7') #获取加密的cookie

        print(get_cookie6,get_cookie7)
        self.write('get cookie')


application = tornado.web.Application(
    handlers=[
        (r'/', SetCookieHander),
        (r'/get',GetCookieHander)
    ],
    template_path='templates',
    static_path='static',
    ui_methods=util.ui_methods,
    ui_modules=util.ui_modules,
    #也可以写成字典形式
    # ui_modules={'UiModule':util.ui_modules.UiModule},
    cookie_secret='test',  # 密码 通过这个将上面cookie内容进行加密
    debug=True
)

if __name__ == '__main__':
    tornado.options.parse_command_line()
    http_server = tornado.httpserver.HTTPServer(application)
    http_server.listen(options.port)
    tornado.ioloop.IOLoop.instance().start()

登录验证

当我们希望用户只需要在第一次登录的时候，输入账号和密码登录进去，之后就不用再输入用户名和密码就可以自动登录进去，也就是在第二次访问的时候，服务器是怎么能够自动识别用户信息的呢？

  1. 导入装饰器：
    from tornado.web import authenticated #导入装饰器
  2. 声明BaseHandler类：
#设置BaseHandler类，重写函数get_current_user
class BaseHandler(tornado.web.RequestHandler):
    def get_current_user(self): #前面有绿色小圆圈带个o，再加一个箭头表示重写
        current_user = self.get_secure_cookie('ID')  #获取加密的cookie
        print(current_user)
        if current_user:
            return current_user
        return None
  1. 设置cookie：
#在LoginHandler类中的post函数里面加上设置cookie
class LoginHandler(tornado.web.RequestHandler):
    def get(self):
        self.render('login.html')

    def post(self,*args,**kwargs):
        user = self.get_argument('name','')
        username = User.by_name(user)
        passwd = self.get_argument('password','')

        if username and passwd == username[0].password:
            self.set_secure_cookie('ID', user)  # 设置加密cookie
            self.render('home.html',username=username)
        else:
            self.write('用户名或密码错误')
  1. 配置没有登录则跳转的路由：
    login_url='/login' 
application = tornado.web.Application(
    handlers = [
        (r'/login',LoginHandler),
        (r'/buy',BuyHandler),
    ],
    cookie_secret='1q2w3e4r',
    #设置跳转路由，为了防止在没有登录情况下，直接输入需要登录才可见的url进行访问，做判断，如果没有登录则跳转到这个路由下
    login_url='/login',
    template_path = 'templates', #想要Tornado能够正确的找到html文件，需要在 Application 中指定文件的位置
    debug = True   #调试模式，修改后自动重启服务，不需要自动重启，生产情况下切勿开启，安全性
)
  1. 装饰需要验证的请求：
#在BuyHandler类里面添加装饰器,装饰需要验证的请求
class BuyHandler(BaseHandler):
    @authenticated            #装饰器判断有没有登录，如果没有则跳转到配置的路由下去
    def get(self):
        self.write('buy')
  1. 如果之前没有登录，直接访问buy路径，则跳转到login去登录：
    image.png

    我们再来看看，跳转到登录界面输入用户名和密码登录之后，如何跳转到之前的页面（buy）呢？
    1.获取之前的路由，在使用 authenticated 之后，如果验证不成功，会自动跳转到登录路由，并且在 URL 后面加上 next 参数，next 参数的参数值就是之前的路由。
    image.png
    def get(self):
        nextname = self.get_argument('next','') #将原来的路由赋值给nextname
        self.render('login.html',nextname=nextname) #跳转页面带上获取的参数

2.修改模板文件，在模板中添加next参数，并且值为之前的路由：

<form method="post" action="/login?next={{nextname}}"> <!--在html模板中添加next参数，并且参数值为之前的路由-->

3.修改post方法，获取之前的页面的路由，当登录验证通过之后，设置加密的 cookie ，并跳转到之前的路由。


    def post(self,*args,**kwargs):
        user = self.get_argument('name','')
        username = User.by_name(user)
        passwd = self.get_argument('password','')

        nextname = self.get_argument('next','') #获取之前页面的路由

        if username and passwd == username[0].password:
            self.set_secure_cookie('ID', user)  # 设置加密cookie
            self.redirect(nextname)     #跳转到之前的路由
        else:
            self.render('login.html',nextname=nextname)

全部代码如下：

#loginTest.py:
import tornado.httpserver
import tornado.ioloop
import tornado.options
import tornado.web
from data.user_module import User
from tornado.options import define,options

from tornado.web import authenticated  #导入装饰器

define('port', default=8080, help='run port', type=int)

#设置BaseHandler类，重写函数get_current_user
class BaseHandler(tornado.web.RequestHandler):
    def get_current_user(self): #前面有绿色小圆圈带个o，再加一个箭头表示重写
        current_user = self.get_secure_cookie('ID')  #获取加密的cookie
        print(current_user)
        if current_user:
            return current_user
        return None

#在LoginHandler类中的post函数里面加上设置cookie
class LoginHandler(tornado.web.RequestHandler):
    def get(self):
        nextname = self.get_argument('next','') #将原来的路由赋值给nextname
        self.render('login.html',nextname=nextname) #跳转页面带上获取的参数

    def post(self,*args,**kwargs):
        user = self.get_argument('name','')
        username = User.by_name(user)
        passwd = self.get_argument('password','')

        nextname = self.get_argument('next','') #获取之前页面的路由

        if username and passwd == username[0].password:
            self.set_secure_cookie('ID', user)  # 设置加密cookie
            self.redirect(nextname)     #跳转到之前的路由
        else:
            self.render('login.html',nextname=nextname)



#在BuyHandler类里面添加装饰器,装饰需要验证的请求
class BuyHandler(BaseHandler):
    @authenticated            #装饰器判断有没有登录，如果没有则跳转到配置的路由下去
    def get(self):
        self.write('buy买买买！')

application = tornado.web.Application(
    handlers = [
        (r'/login',LoginHandler),
        (r'/buy',BuyHandler),
    ],
    cookie_secret='1q2w3e4r',
    #设置跳转路由，为了防止在没有登录情况下，直接输入需要登录才可见的url进行访问，做判断，如果没有登录则跳转到这个路由下
    login_url='/login',
    template_path = 'templates', #想要Tornado能够正确的找到html文件，需要在 Application 中指定文件的位置
    debug = True   #调试模式，修改后自动重启服务，不需要自动重启，生产情况下切勿开启，安全性
)


if __name__ == '__main__':
    tornado.options.parse_command_line()
    http_server = tornado.httpserver.HTTPServer(application)
    http_server.listen(options.port)
    tornado.ioloop.IOLoop.instance().start()

#模板文件login.html:
<body>
<h1>登录</h1>
    <form method="post" action="/login?next={{nextname}}"> <!--在html模板中添加next参数，并且参数值为之前的路由-->
        用户名：<input type="text" name="name"/><br/>
        密 码：<input type="password" name="password"/><br/>
        <input type="submit" value="注册" />
    </form>

</body>

session

可以用了解到 cookie 中的信息可以用来保存用户的登录信息，但是coolkie 是很容易被拦截的，所有其中必定不能有用户的任何私密信息，那么又有什么办法可以让服务器保存用户的登录信息，但是cookie中又不会有用户的任何信息呢？

  1. 安装对应模块
pip install pycket 
pip install redis
  1. 导入模块
from pycket.session import SessionMixin
  1. 继承SessionMixin
class BaseHandler(tornado.web.RequestHandler,SessionMixin):
  1. 添加配置：
pycket = {
            'engine':'redis',
            'storage':{
                'host':'localhost',
                'port':6379,
                'db_sessions':5,
                'db_notifications':11,
                'max_connections':2 ** 33,
            },
            'cookie':{
                'expires_days':38,
                'max_age':100
            }
        }
  1. 在BaseHandler里面修改设置cookie为设置session
current_user = self.session.get('user')
  1. 在LoginHandler里面的post里面修改获取cookie为获取session
self.session.set('user', user)

xsrf跨站伪造请求

使用session可以保证用户信息不被cookie泄露，那如果攻击者不想获取用户信息，只是在提交form表单是攻击，该如何防范？
只需要在html模板中添加

 {% module xsrf_form_html() %}

即可，当登录信息发送到服务器中去的时候，form表单和cookie里面都会有一个随机码，如果发送到服务器的时候这两个码不相同，那就表示被拦截了，服务器会拒绝客户端发送的请求。

©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 219,753评论 6赞 508
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 93,668评论 3赞 396
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 166,090评论 0赞 356
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 59,010评论 1赞 295
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 68,054评论 6赞 395
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 51,806评论 1赞 308
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 40,484评论 3赞 420
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 39,380评论 0赞 276
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 45,873评论 1赞 319
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 38,021评论 3赞 338
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 40,158评论 1赞 352
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 35,838评论 5赞 346
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 41,499评论 3赞 331
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 32,044评论 0赞 22
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 33,159评论 1赞 272
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 48,449评论 3赞 374
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 45,136评论 2赞 356

推荐阅读更多精彩内容

  • 深入理解Cookie和Session机制
    目录Cookie机制什么是CookieCookie的不可跨域名性Unicode编码：保存中文BASE64编码：保存...
    Tomatoro阅读 16,946评论 7赞 186
  • 理解Cookie和Session机制
    会话（Session）跟踪是Web程序中常用的技术，用来跟踪用户的整个会话。常用的会话跟踪技术是Cookie与Se...
    chinariver阅读 5,623评论 1赞 49
  • 20160607
    N讀經： - 使徒行傳1:8 但聖靈降在你們身上，你們就必得著能力，並要在耶路撒冷，猶太全地，和撒瑪利亞，直到地極...
    NCNeverland阅读 242评论 0赞 0
  • 易效能学习笔记24――习惯
    你是个吃货吗？ 今天要讲吃的了哦，你觉得原汁原味的东西好吃吗？ 记得大学时有一位室友和我都很喜欢用燕麦片冲泡着吃，...
    豆浆油条_bdb7阅读 144评论 0赞 1
  • 恋爱是大学的必修课吗？
    年还没过完，就极不情愿地开学了，看着身边一对对花式虐狗的cp，曾经有些恨嫁的我现在反倒一点都不羡慕，还好，轩轩及时...
    洛梅儿阅读 611评论 0赞 1