2. 程式人生 > >flask基礎之session原理詳解(十)

flask基礎之session原理詳解(十)

阿新 • • 發佈：2018-12-07

前言

flask_session是flask框架實現session功能的一個外掛，用來替代flask自帶的session實現機制，flask預設的session資訊儲存在cookie中，不夠安全和靈活。

flask的session機制

session是用來幹什麼的呢？由於http協議是一個無狀態的協議，也就是說同一個使用者第一次請求和第二次請求是完全沒有關係的，但是現在的網站基本上有登入使用的功能，這就要求必須實現有狀態，而session機制實現的就是這個功能。

實現的原理:

使用者第一次請求後，將產生的狀態資訊儲存在session中，這時可以把session當做一個容器，它儲存了正在使用的所有使用者的狀態資訊；這段狀態資訊分配了一個唯一的識別符號用來標識使用者的身份，將其儲存在響應物件的cookie中；當第二次請求時，解析cookie中的識別符號，拿到識別符號後去session找到對應的使用者的資訊。

簡單使用

from flask import Flask,session
app = Flask(__name__)
@app.route('/test1/')
def test():
    session.setdefault('name', 'xiaoming')
    return 'OK'
if __name__ == '__main__':
    app.run(host='127.0.0.1', port=80, debug=True)

在flask中，如果我們想要獲取session資訊，直接通過flask的session獲取就可以了，這是因為session是一個代理物件，代理當前請求上下文的session屬性。

session原始碼分析

依據上述session的原理，來分析一下flask框架的session機制實現的過程。

Flask物件使用open_session方法和save_session方法開啟和儲存會話資訊,請求在建立請求上下文後會呼叫open_session方法獲取使用者的資訊，在執行完處理邏輯後會呼叫save_session方法儲存使用者的資訊。

  • open_session和save_session
def open_session(self, request):
    # 呼叫了app的session_interface物件的方法
    return self.session_interface.open_session(self, request)

def save_session(self, session, response):
    return self.session_interface.save_session(self, session, response)

app物件預設的session_interface = SecureCookieSessionInterface(),SecureCookieSessionInterface重寫了SessionInterface物件的open_session方法和save_session方法。

class SecureCookieSessionInterface(SessionInterface):
    pass

    def open_session(self, app, request):
        # 檢測是否設定了secret_key引數，返回一個簽名物件
        s = self.get_signing_serializer(app)
        if s is None:
            return None
        # 去cookie中獲取session資訊
        val = request.cookies.get(app.session_cookie_name)
        # 如果是第一次請求，返回一個空的SecureCookieSession物件，會被交給請求上下文的session屬性管理
        if not val:
            return self.session_class()
        # 獲取session的失效時間
        max_age = total_seconds(app.permanent_session_lifetime)
        try:
            # 對session資訊進行解碼得到使用者資訊
            data = s.loads(val, max_age=max_age)
            # 返回有使用者資訊的session物件
            return self.session_class(data)
        except BadSignature:
            return self.session_class()

    def save_session(self, app, session, response):
        # 獲取cookie設定的域
        domain = self.get_cookie_domain(app)
        # 獲取cookie設定的路徑
        path = self.get_cookie_path(app)
        ...

        # 檢測SESSION_REFRESH_EACH_REQUEST引數配置
        if not self.should_set_cookie(app, session):
            return
        # 返回SESSION_COOKIE_HTTPONLY引數配置
        httponly = self.get_cookie_httponly(app)
        # 返回SESSION_COOKIE_SECURE引數配置
        secure = self.get_cookie_secure(app)
        # 返回失效的時間點
        expires = self.get_expiration_time(app, session)
        #將使用者的資料加密
        val = self.get_signing_serializer(app).dumps(dict(session))
        # 設定cookie
        response.set_cookie(app.session_cookie_name, val,
                            expires=expires, httponly=httponly,
                            domain=domain, path=path, secure=secure)

請求上下文RequestContext的session屬性是一個SecureCookieSession物件，可以將其看做一個字典；

相關的配置引數

SESSION_COOKIE_NAME:設定返回給客戶端的cookie的名稱，預設是“session”;放置在response的頭部；

SESSION_COOKIE_DOMAIN:設定會話的域，預設是當前的伺服器，因為Session是一個全域性的變數，可能應用在多個app中；

SESSION_COOKIE_PATH:設定會話的路徑，即哪些路由下應該設定cookie，如果不設定，那麼預設為‘/’，所有的路由都會設定cookie；這個引數和SESSION_COOKIE_DOMAIN是互斥的

SERVER_NAME:設定伺服器的名字，一般不用；

SESSION_COOKIE_SECURE：如果 cookie 標記為“ secure ”，那麼瀏覽器只會使用基於 HTTPS 的請求發 送 cookie，應用必須使用 HTTPS 服務來啟用本變數，預設False

APPLICATION_ROOT：設定應用的根路徑；

SESSION_REFRESH_EACH_REQUEST:是否應該為每一個請求設定cookie，預設為True，如果為False則必須顯性呼叫set_cookie函式；

SESSION_COOKIE_HTTPONLY：cookie應該和httponly標誌一起設定，預設為True，這個一般採用預設。

PERMANENT_SESSION_LIFETIME：設定session的有效期，即cookie的失效時間，單位是s。這個引數很重要，因為預設會話是永久性的。

SESSION_COOKIE_HTTPONLY：預設為true，表示允許js指令碼訪問cookie；

小結

flask預設通過SecureCookieSessionInterface物件管理session，其重寫了SessionInterface物件的open_session方法和save_session方法，將使用者的資料加密後儲存在cookie中。

自定義session儲存

通過分析flask的session實現機制，一般認為將session資訊放在cookie中不夠保險，那麼我們可以實現自己的session機制，思路是建立一個類繼承SessionInterface，然後重寫open_session方法和save_session方法，再使用我們的類替換app的session_interface屬性即可。

比如我要將session資訊儲存在一個session.json中。

第一步：設定必要的配置引數
# 配置session存放的路徑
MY_SESSION_PATH = '\session.json'
'SESSION_TYPE' = 'file'
# 配置預設的seesion的配置引數
SECRET_KEY = '123'
SESSION_USE_SIGNER = True  
# session的有效期，單位：秒
PERMANENT_SESSION_LIFETIME = 7200
第二步：建立自己的SessionInterface的子類
from flask.sessions import *
try:
    import cPickle as pickle
except ImportError:
    import pickle

import json
from uuid import uuid4
import time

# 我們需要自定義一個Session物件用來儲存使用者的資訊，它使用一個唯一的id標識，模仿SecureCookieSession的實現方法
class SecureFileSession(CallbackDict, SessionMixin):
    def __init__(self, initial=None, sid=None, permanent=None):
        def on_update(self):
            self.modified = True
        CallbackDict.__init__(self, initial, on_update)
        self.sid = sid  # session的標識
        if permanent:
            self.permanent = permanent  # 失效時間
        self.modified = False

# 我們使用uuid作為簽名，省略校驗過程
class NewSessionInterface(SessionInterface):

    def _generate_sid(self):
        return str(uuid4())

class JsonFileSessionInterface(NewSessionInterface):
    # 用來序列化的包
    serializer = pickle
    session_class = SecureFileSession

    def __init__(self, app=None):
        self.app = app
        if app is not None:
            self.init_app(app)

    def init_app(self, app):
        """
        替換app的session_interface屬性
        :param app:
        :return:
        """
        app.session_interface = self._get_interface(app)

    def _get_interface(self, app):
        """
        載入配置引數返回本身,必須配置'SESSION_TYPE'和'MY_SESSION_PATH'引數，否則使用預設的session
        :param app:
        :return:
        """
        config = app.config.copy()
        if config['SESSION_TYPE'] == 'file':
            if not config['MY_SESSION_PATH']:
                return SecureCookieSessionInterface()
            self.path = app.static_folder + config['MY_SESSION_PATH']  # session檔案路徑
            self.permanent = total_seconds(app.permanent_session_lifetime)  # 失效時間
            return self
        return SecureCookieSessionInterface()

    def open_session(self, app, request):
        """
        從檔案中獲取session資料
        :param app:
        :param request:
        :return:
        """
        # 獲取session簽名
        sid = request.cookies.get(app.session_cookie_name)
        permanent = int(time.time()) + self.permanent
        # 如果沒有說明是第一次訪問，返回空session物件
        if not sid:
            # 獲取一個uuid
            sid = self._generate_sid()
            return self.session_class(sid=sid, permanent=permanent)

        with open(self.path, 'r', encoding='utf-8') as f:
            v = f.read()
            # 如果session為空，返回空session物件
            if not v:
                return self.session_class(sid=sid, permanent=permanent)
            try:
                val = json.loads(v)
            except ValueError as e:
                print('配置引數錯誤：{}'.format(e))
                return self.session_class(sid=sid, permanent=permanent)
            else:
                self.val = val
                # 通過sid獲取資訊
                data = val.get(sid)
                if not data:
                    return self.session_class(sid=sid, permanent=permanent)
                # 判斷以前的資訊是否超時
                if permanent - int(data['permanent']) > self.permanent:
                    return self.session_class(sid=sid, permanent=permanent)
                return self.session_class(data, sid=sid)

    def save_session(self, app, session, response):
        """
        儲存session資訊
        :param app:
        :param session:
        :param response:
        :return:
        """
        # 前面借鑑flask預設的實現方式
        domain = self.get_cookie_domain(app)
        path = self.get_cookie_path(app)
        if not session:
            if session.modified:
                response.delete_cookie(app.session_cookie_name,
                                       domain=domain, path=path)
            return
        if not self.should_set_cookie(app, session):
            return
        httponly = self.get_cookie_httponly(app)
        secure = self.get_cookie_secure(app)
        expires = self.get_expiration_time(app, session)

        # 將session資訊儲存在檔案中
        session.update({'permanent': int(time.time()) + self.permanent})
        if hasattr(self, 'val') and isinstance(self.val, dict):
            self.val.update({session.sid: dict(session)})
        else:
            self.val = {session.sid: dict(session)}

        with open(self.path, 'w', encoding='utf-8') as f:
            result = json.dumps(self.val)
            f.write(result)
            response.set_cookie(app.session_cookie_name, session.sid,
                                expires=expires, httponly=httponly,
                                domain=domain, path=path, secure=secure)
第三步：初始化替換app的session_interface
app = Flask(__name__,template_folder='static/html')
app.config.update({
                   'SECRET_KEY':'123',
                   'SESSION_USE_SIGNER':True,
                    'SESSION_TYPE':'file',
                    'MY_SESSION_PATH':'\session.json'})
from session_file import JsonFileSessionInterface
se = JsonFileSessionInterface(app=app)
if __name__ == '__main__':
    app.run(host='127.0.0.1', port=80, debug=True)

小結

經過上面的三步，我們就可以將自己實現的session物件運用到flask專案中，我們採用的是檔案儲存session，實際專案中有redis,memcached,mysql等都可以儲存session，將它們整合起來，於是flask_session外掛就應運而生了。

flask_session擴充套件

flask_session外掛就是官方推薦的session實現外掛，整合了redis,memcached,mysql，file,mongodb等多種第三方儲存session資訊,它的實現原理就是我上面自定義session所做的工作。

安裝

pip install Flask-Session

配置引數詳解

flask_session初始化後，會從app的配置中讀取引數，比較重要的有：

設定session儲存的位置，可以有多種配置，
SESSION_TYPE = ‘null’          : 採用flask預設的儲存在cookie中；
SESSION_TYPE = ‘redis’         : 儲存在redis中
SESSION_TYPE = ‘memcached’     : 儲存在memcache
SESSION_TYPE = 'filesystem'      : 儲存在檔案
SESSION_TYPE = 'mongodb'        : 儲存在MongoDB
SESSION_TYPE = 'sqlalchemy'     : 儲存在關係型資料庫

SESSION_KEY_PREFIX = 'session:' :session儲存時的鍵的字首
SESSION_USE_SIGNER：是否為cookie設定簽名來保護資料不被更改，預設是False；如果設定True,那麼必須設定flask的secret_key引數；
SESSION_PERMANENT：是否使用永久會話，預設True，但是如果設定了PERMANENT_SESSION_LIFETIME，則這個失效；

SESSION_REDIS：
如果SESSION_TYPE = ‘redis’，那麼設定該引數連線哪個redis，其是一個連線物件；如果不設定的話，預設連線127.0.0.1:6379/0
for example:
SESSION_REDIS = redis.StrictRedis(host="127.0.0.1", port=6390, db=4)

關於其他的儲存中間人蔘考：https://pythonhosted.org/Flask-Session/

一份常用的flask_session的配置

# 指明對session資料進行保護
SECRET_KEY = '123'
SESSION_USE_SIGNER = True  
# 指明儲存到redis中
SESSION_TYPE = "redis"  
SESSION_REDIS = redis.StrictRedis(host="127.0.0.1", port=6390, db=4)
# session的有效期，單位：秒
PERMANENT_SESSION_LIFETIME = 7200

flask_session的使用流程

 # extensions.py
 # 建立一個session物件
 from flask_session import Session
 # 建立一個Session的例項
session = Session()

# 在app初始化時初始化session物件，即載入配置
# __init__.py
from flask import Flask
app = Flask(__name__)
session.init_app(app=app)

# task.py
from Flask import session

@app.route('/test', methods=['POST'])
def test():
    session.get('user',None)
    return ""

參考：

  • https://pythonhosted.org/Flask-Session/

  • https://dormousehole.readthedocs.io/en/latest

相關推薦

flask基礎之session原理詳解(十)

前言 flask_session是flask框架實現session功能的一個外掛，用來替代flask自帶的session實現機制，flask預設的session資訊儲存在cookie中，不夠安全和靈活。 flask的session機制 session是用來幹什麼的呢？由於http協議是一個無狀態的協議，

Java 基礎之--註解Annotation詳解

註解 java 基礎 time span face 自定義註解 div ace rtu 自定義註解入門： public @interface Annotation01 { //set default value ""; String value() de

【 MAKEFILE 程式設計基礎之三】詳解 MAKEFILE 變數的定義規則使用！

本站文章均為 李華明Himi 原創,轉載務必在明顯處註明： 轉載自【黑米GameDev街區】 原文連結: http://www.himigame.com/gcc-makefile/770.html     使用變數： 在Mak

Dubbo之SPI原理詳解

       SPI全稱為Service Provider Interface，是一種服務提供機制，比如在現實中我們經常會有這種場景，就是對於一個規範定義方而言（可以理解為一個或多個介面），具體的服務實現方是不可知的（可以理解為對這些介面的實現類），那麼在定義這些規範的時候，就需要規範定義方能夠通過一定的方式

Spring MVC總結之工作原理詳解

目錄 1.MVC思想/模式 2.Spring MVC的前端控制器（DispatcherServlet） 3.業務控制器Handle 4.Spring MVC的請求流程： 1.MVC思想/模式 1.1 MVC思想將一個應用分為三個基本部分：Model(模型)、Vie

分散式架構基礎之Java RMI詳解

RMI簡介 ​Java RMI或遠端方法呼叫是用於遠端過程呼叫的Java API，它可以直接傳輸序列化Java物件和分散式垃圾收集。它的實現依賴於Java虛擬機器（JVM），因此它只支援從一個JVM到另一個JVM的呼叫。   rmi的實現 (1) 直接使用Regist

Android基礎之四大元件-詳解Service

1 介紹 　　Service是android的一種機制。Service是執行在後臺的程式碼，不能與使用者互動，可以執行在自己的程序，也可以執行在其他應用程式的上下文裡。需要通過某一個Activity或其他Context物件來呼叫。 1.1 Servic

Express之Session使用詳解

Session是什麼 Session一般譯作會話，牛津詞典對其的解釋是進行某活動連續的一段時間。從不同的層面看待session，它有著類似但不全然相同的含義。比如，在web應用的使用者看來，他開啟瀏覽器訪問一個電子商務網站，登入、並完成購物直到關閉瀏覽器，這是一個會話。而在web應用的開發者開來，使

java基礎之記憶體機制詳解

今天有看到一篇好的關於java記憶體機制的文章，果斷轉載過來，哈哈哈哈哈哈！！！！！ 堆區:  1.儲存的全部是物件，每個物件都包含一個與之對應的class的資訊。(class的目的是得到操作指令) 2.jvm只有一個堆區(heap)被所有執行緒共享，堆中不存放基本型

深度相機之TOF原理詳解

/*******************************************************************************************************************本文轉載源連結沒有找到，若有幸被原創作者訪問

Netty記憶體池之PoolChunk原理詳解

開發十年，就只剩下這套架構體系了！ >>>   

Java程式設計師從笨鳥到菜鳥之（四十八）細談struts2（十）ognl概念和原理詳解

分享一下我老師大神的人工智慧教程！零基礎，通俗易懂！http://blog.csdn.net/jiangjunshow 也歡迎大家轉載本篇文章。分享知識，造福人民，實現我們中華民族偉大復興！        

十四、併發程式設計之ReentrantLock公平鎖和非公平鎖原理詳解

一、簡介 Java語言中有許多原生執行緒安全的資料結構，比如ArrayBlockingQueue、CopyOnWriteArrayList、LinkedBlockingQueue，它們執行緒安全的實現方式並非通過synchronized關鍵字，而是通過java.util.concurre

解決ajax跨域的方法原理詳解之Cors方法

詳細 不同 htm 渲染 jsonp del 需要 methods href 1、神馬是跨域（Cross Domain） 對於端口和協議的不同，只能通過後臺來解決。 一句話：同一個ip、同一個網絡協議、同一個端口，三者都滿足就是同一個域，否則就是 跨域問題了。而為

虛擬化技術基礎原理詳解

虛擬化技術基礎原理詳解DISK : IO調度模式 CFQ deadline anticipatory NOOP/sys/block/<device>/queue/schedulerMemory: MMU TLB vm.swappiness={0..100},使用交換分區的

編碼原理詳解（四）---之字形掃描

便是 集中 img 詳解 工作 -- 漢字 如何 編碼原理 上一篇我們講到，經過量化後得到了諸多零值和整數值，本篇接下來講講編碼過程中過對這些值如何組織和處理，那就是ZigZag掃描嘍。 一、簡介 ZigZag掃描也稱作之字形掃描，何以得此稱謂，是因為其掃描的路徑特

Docker 基礎技術之 Linux namespace 詳解

基本 mar $$ 裏的 sta 進程資源 進程間通信 開始 消息隊列 Docker 是“新瓶裝舊酒”的產物，依賴於 Linux 內核技術 chroot 、namespace 和 cgroup。本篇先來看 namespace 技術。 Docker 和虛擬機技術一樣，從操作系

大數據學習之（Storm）-原理詳解！

大數據 storm 角色 Client client的主要作用是提交topology到集群 Worker Worker是運行在Supervisor節點上的一個獨立的JVM進程，主要作用是運行topology，一個topology可以包含多個worker，但一個worker只能屬於一個topology

JVM源碼分析之System.currentTimeMillis及nanoTime原理詳解

atime status bin lease col void 奇怪 pro http JDK7

Memcached學習筆記之三：詳解MemCached原理

memcached是一個高效能的分散式記憶體快取伺服器，memcached在Linux上可以通過yum命令安裝，這樣方便很多，在生產環境下建議用Linux系統，memcached使用libevent這個庫在Linux系統上才能發揮它的高效能。它的分散式其實在服務端是不具有分散式的特徵的，是依靠客戶端