cookie操作

星哥玩云

发布于 2022-09-14 19:01:51

4680

发布于 2022-09-14 19:01:51

文章被收录于专栏：开源部署

一、说明

概述会话控制用来保持用户的状态具体来说cookie机制采用的是在客户端保持状态的方案
原因 http协议是无状态的每一次请求都是一次新的请求，不会记得之前的通信状态
值的存储 cookie存储在客户端的浏览器一般会限制存储cookie的个数为 20个并且单个cookie保存值的大小不能超过4kb 存储在浏览器上为明文存储所以不安全

二、设置

方法

set_cookie(name, value, domain=None, expires=None, path=’/’, expires_days=None)

参数说明

参数名	说明
name	cookie名
value	cookie值
domain	提交cookie时匹配的域名
path	提交cookie时匹配的路径
expires	cookie的有效期，可以是时间戳整数、时间元组或者datetime类型，为UTC时间
expires_days	cookie的有效期，天数，优先级低于expires

示例

<span class="hljs-keyword">import</span> time

<span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">IndexHandler</span><span class="hljs-params">(RequestHandler)</span>:</span>
    <span class="hljs-function"><span class="hljs-keyword">def</span> <span class="hljs-title">get</span><span class="hljs-params">(self)</span>:</span>
        self.set_cookie(<span class="hljs-string">"name"</span>, <span class="hljs-string">"lucky"</span>)
        self.set_cookie(<span class="hljs-string">"age"</span>, <span class="hljs-string">"18"</span>, path=<span class="hljs-string">"/new"</span>, expires=time.strptime(<span class="hljs-string">"2020-03-04 23:59:59"</span>,<span class="hljs-string">"%Y-%m-%d %H:%M:%S"</span>))
        self.set_cookie(<span class="hljs-string">"sex"</span>, <span class="hljs-string">"man"</span>, expires_days=<span class="hljs-number">20</span>)
        <span class="hljs-comment"># 利用time.mktime将本地时间转换为UTC标准时间</span>
        self.set_cookie(<span class="hljs-string">"info"</span>, <span class="hljs-string">"lucky_info"</span>, expires=time.mktime(time.strptime(<span class="hljs-string">"2020-03-04 23:59:59"</span>,<span class="hljs-string">"%Y-%m-%d %H:%M:%S"</span>)))
        self.write(<span class="hljs-string">"OK"</span>)

结果

原理

设置cookie实际就是通过设置header的Set-Cookie来实现的

<span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">IndexHandler</span><span class="hljs-params">(RequestHandler)</span>:</span>
    <span class="hljs-function"><span class="hljs-keyword">def</span> <span class="hljs-title">get</span><span class="hljs-params">(self)</span>:</span>
        self.set_header(<span class="hljs-string">"Set-Cookie"</span>, <span class="hljs-string">"lucky=lucky_boy; expires=Wed, 04 Mar 2020 15:59:59 GMT; Path=/"</span>) 
        self.write(<span class="hljs-string">"OK"</span>)

三、获取

方法

get_cookie(name, default=None) 获取名为name的cookie，可以设置默认值

示例

<span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">IndexHandler</span><span class="hljs-params">(RequestHandler)</span>:</span>
    <span class="hljs-function"><span class="hljs-keyword">def</span> <span class="hljs-title">get</span><span class="hljs-params">(self)</span>:</span>
        name = self.get_cookie(<span class="hljs-string">"name"</span>)
        self.write(name)

四、删除

方法

clear_cookie(name) 删除名为name的cookie

clear_all_cookies() 删除所有cookie

示例

<span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">ClearOneCookieHandler</span><span class="hljs-params">(RequestHandler)</span>:</span>
    <span class="hljs-function"><span class="hljs-keyword">def</span> <span class="hljs-title">get</span><span class="hljs-params">(self)</span>:</span>
        self.clear_cookie(<span class="hljs-string">"name"</span>)
        self.write(<span class="hljs-string">"OK"</span>)

<span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">ClearAllCookieHandler</span><span class="hljs-params">(RequestHandler)</span>:</span>
    <span class="hljs-function"><span class="hljs-keyword">def</span> <span class="hljs-title">get</span><span class="hljs-params">(self)</span>:</span>
        self.clear_all_cookies()
        self.write(<span class="hljs-string">"OK"</span>)

注意

执行清除cookie操作后，并不是立即删除了浏览器中的cookie，而是给cookie值置空，并改变其有效期使其失效。真正的删除cookie是由浏览器去清理的

五、安全Cookie

说明

Cookie是存储在客户端浏览器中的，很容易被篡改。Tornado提供了一种对Cookie进行简易加密签名的方法来防止Cookie被恶意篡改

使用安全Cookie需要为应用配置一个用来给Cookie进行混淆的秘钥cookie_secret，将其传递给Application的构造函数。我们可以使用如下方法来生成一个随机字符串作为cookie_secret的值

示例

<span class="hljs-meta">&gt;&gt;&gt; </span><span class="hljs-keyword">import</span> base64, uuid
<span class="hljs-meta">&gt;&gt;&gt; </span>base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes)
<span class="hljs-string">'2hcicVu+TqShDpfsjMWQLZ0Mkq5NPEWSk9fi0zsSt3A='</span>

扩展

Base64是一种基于64个可打印字符来表示二进制数据的表示方法。由于2的6次方等于64，所以每6个比特为一个单元，对应某个可打印字符。三个字节有24个比特，对应于4个Base64单元，即3个字节需要用4个可打印字符来表示
uuid, 通用唯一识别码（英语：Universally Unique Identifier，简称UUID），是由一组32个16进制数字所构成（两个16进制数是一个字节，总共16字节），因此UUID理论上的总数为1632=2128，约等于3.4 x 10^38。也就是说若每纳秒产生1兆个UUID，要花100亿年才会将所有UUID用完。
uuid模块的uuid4()函数可以随机产生一个uuid码，bytes属性将此uuid码作为16字节字符串。

使用

将生成的cookie_secret传入Application构造函数

app = tornado.web.Application(
    [(<span class="hljs-string">r"/"</span>, IndexHandler),],
    cookie_secret = <span class="hljs-string">"2hcicVu+TqShDpfsjMWQLZ0Mkq5NPEWSk9fi0zsSt3A="</span>
)

六、获取和设置

方法

set_secure_cookie(name, value, expires_days=30) 设置一个带签名和时间戳的cookie，防止cookie被伪造
get_secure_cookie(name, value=None, max_age_days=31) 如果cookie存在且验证通过，返回cookie的值，否则返回None。max_age_day不同于expires_days，expires_days是设置浏览器中cookie的有效期，而max_age_day是过滤安全cookie的时间戳

示例

<span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">IndexHandler</span><span class="hljs-params">(RequestHandler)</span>:</span>
    <span class="hljs-function"><span class="hljs-keyword">def</span> <span class="hljs-title">get</span><span class="hljs-params">(self)</span>:</span>
        cookie = self.get_secure_cookie(<span class="hljs-string">"count"</span>)
        count = int(cookie) + <span class="hljs-number">1</span> <span class="hljs-keyword">if</span> cookie <span class="hljs-keyword">else</span> <span class="hljs-number">1</span>
        self.set_secure_cookie(<span class="hljs-string">"count"</span>, str(count))
        self.write(
            <span class="hljs-string">'&lt;html&gt;&lt;head&gt;&lt;title&gt;Cookie计数器&lt;/title&gt;&lt;/head&gt;'</span>
            <span class="hljs-string">'&lt;body&gt;&lt;h1&gt;您已访问本页%d次。&lt;/h1&gt;'</span> % count + 
            <span class="hljs-string">'&lt;/body&gt;&lt;/html&gt;'</span>
        )

我们看签名后的cookie值：

"2|1:0|10:1476412069|5:count|4:NQ==|cb5fc1d4434971de6abf87270ac33381c686e4ec8c6f7e62130a0f8cbe5b7609"

字段说明

安全cookie的版本，默认使用版本2，不带长度说明前缀
默认为0
时间戳
cookie名
base64编码的cookie值
签名值，不带长度说明前缀

注意

Tornado的安全cookie只是一定程度的安全，仅仅是增加了恶意修改的难度。Tornado的安全cookies仍然容易被窃听，而cookie值是签名不是加密，攻击者能够读取已存储的cookie值，并且可以传输他们的数据到任意服务器，或者通过发送没有修改的数据给应用伪造请求。因此，避免在浏览器cookie中存储敏感的用户数据是非常重要的

过程