Django操作cookie、Django操作session、Django中的Session配置、CBV添加装饰器、中间件、csrf跨站请求

作者： 分类：所有,中间件 字数：8466

'# Django操作cookie、Django操作session、Django中的Session配置、CBV添加装饰器、中间件、csrf跨站请求

一、背景与问题

在Web开发中，状态管理是核心问题之一。Django提供了完整的解决方案，包括基于Cookie的会话管理、基于Session的用户状态维护、中间件的全局处理机制，以及CSRF防护体系。本文将深入解析这些机制的工作原理、实现细节和实际应用场景。

二、基本原理

1. Cookie与Session的协同工作

Cookie是服务器发送给客户端的键值对存储，而Session是服务器端的存储结构。Django通过session框架将二者结合：

  • 客户端发送请求时携带Cookie
  • 服务器根据Cookie中的sessionid查找Session存储
  • 服务器将业务数据存储到Session中
  • 服务器生成新的sessionid并更新Cookie

这个过程涉及到以下几个关键点：

  • Session的存储介质（内存/数据库/缓存）
  • Cookie的过期策略（SESSION_COOKIE_AGE）
  • Session的加密机制（secure、httponly标志）

2. 中间件的处理流程

Django中间件分为请求处理和响应处理两个阶段：

def process_request(self, request):
    # 请求处理阶段

def process_response(self, request, response):
    # 响应处理阶段

中间件链执行顺序：

  1. 请求处理阶段按定义顺序依次执行
  2. 响应处理阶段按反向顺序执行

3. CSRF防护机制

CSRF攻击的核心是利用用户身份进行恶意操作。Django通过以下机制防护：

  • 每个表单生成一个csrf token（csrf_token模板标签）
  • 表单提交时验证token有效性
  • 使用@csrf_exempt或@csrf_protect控制验证行为
  • 支持AJAX请求的X-CSRFToken头验证

三、环境准备

# 创建虚拟环境
python -m venv django_env
source django_env/bin/activate

# 安装Django
pip install django==4.2

四、核心实现

1. Cookie操作

# views.py
from django.http import HttpResponse

def set_cookie(request):
    response = HttpResponse("Cookie设置成功")
    response.set_cookie(
        key='user_id',
        value='12345',
        max_age=3600,  # 1小时后过期
        secure=True,   # 只通过HTTPS传输
        httponly=True  # 防止JavaScript访问
    )
    return response

def get_cookie(request):
    user_id = request.COOKIES.get('user_id')
    return HttpResponse(f"获取到的用户ID: {user_id}")

关键点解释：

  • set_cookie方法的参数设置影响安全性
  • max_age控制Cookie的生命周期
  • secure和httponly标志是防御XSS攻击的关键

2. Session操作

# views.py
from django.http import HttpResponse
from django.shortcuts import redirect

def login(request):
    if request.method == 'POST':
        # 假设验证通过
        request.session['user_id'] = '12345'
        return redirect('home')
    return HttpResponse("登录页面")

def home(request):
    if 'user_id' in request.session:
        return HttpResponse("欢迎回来！")
    else:
        return redirect('login')

关键点解释：

  • Session数据存储在Django的django_session表中
  • 默认使用数据库存储，可通过SESSION_ENGINE配置
  • request.session是Session的接口

3. Session配置

# settings.py
SESSION_COOKIE_NAME = 'my_custom_cookie'
SESSION_COOKIE_DOMAIN = '.example.com'
SESSION_COOKIE_SECURE = True
SESSION_COOKIE_HTTPONLY = True
SESSION_EXPIRE_AT_BROWSER_CLOSE = True
SESSION_SAVE_EVERY_REQUEST = True

配置说明：

  • SESSION_COOKIE_DOMAIN影响Cookie的域名匹配
  • SESSION_COOKIE_SECURE强制HTTPS传输
  • SESSION_EXPIRE_AT_BROWSER_CLOSE设置关闭浏览器时失效
  • SESSION_SAVE_EVERY_REQUEST影响性能与数据一致性

五、完整案例

1. 完整项目结构

myproject/
├── myapp/
│   ├── migrations/
│   ├── models.py
│   ├── views.py
│   └── urls.py
├── myproject/
│   ├── settings.py
│   ├── urls.py
│   └── wsgi.py
└── manage.py

2. 完整案例代码

# myapp/views.py
from django.http import HttpResponse, HttpResponseRedirect
from django.shortcuts import render
from django.views import View
from django.views.decorators.csrf import csrf_exempt
from django.middleware.csrf import get_token
from django.contrib.auth import authenticate, login

class LoginView(View):
    def get(self, request):
        return render(request, 'login.html')

    def post(self, request):
        username = request.POST['username']
        password = request.POST['password']
        user = authenticate(username=username, password=password)
        if user is not None:
            login(request, user)
            return HttpResponseRedirect('/dashboard')
        return HttpResponse("登录失败")

class DashboardView(View):
    def get(self, request):
        if not request.user.is_authenticated:
            return HttpResponseRedirect('/login')
        return render(request, 'dashboard.html', {'user': request.user})
# myapp/urls.py
from django.urls import path
from .views import LoginView, DashboardView

urlpatterns = [
    path('login/', LoginView.as_view(), name='login'),
    path('dashboard/', DashboardView.as_view(), name='dashboard'),
]
# settings.py
# 配置CSRF
CSRF_COOKIE_NAME = 'my_csrf_token'
CSRF_COOKIE_DOMAIN = '.example.com'
CSRF_COOKIE_SECURE = True
CSRF_COOKIE_HTTPONLY = True
CSRF_TRUSTED_ORIGINS = ['https://example.com']

六、源码解析

1. Session中间件源码

# django/middleware/session.py
class SessionMiddleware:
    def process_request(self, request):
        engine = get_session_engine()
        request.session = engine.SessionStore(request)
        request.session.modified = False

    def process_response(self, request, response):
        if request.session.modified:
            request.session.save()
        return response

关键点：

  • get_session_engine()根据SESSION_ENGINE配置加载不同的存储引擎
  • SessionStore类实现了不同的存储方式（数据库/缓存等）
  • modified标志用于控制是否需要保存Session

2. CSRF中间件源码

# django/middleware/csrf.py
class CsrfViewMiddleware:
    def process_request(self, request):
        if request.method in ('POST', 'PUT', 'DELETE'):
            if not request.META.get('HTTP_X_CSRFTOKEN'):
                token = get_token(request)
                request.csrf_token = token
                return None
            else:
                token = request.META.get('HTTP_X_CSRFTOKEN')
                if token != get_token(request):
                    return HttpResponseForbidden("CSRF verification failed")

关键点：

  • 通过X_CSRFTOKEN头验证AJAX请求
  • 使用get_token函数生成token
  • 支持@csrf_exempt和@csrf_protect装饰器控制行为

七、进阶使用

1. 自定义Session存储

# settings.py
SESSION_ENGINE = 'myapp.custom_session.RedisSessionEngine'
# myapp/custom_session.py
from django.contrib.sessions.backends.db import SessionStore as DBStore
from django.core.cache import caches

class RedisSessionEngine:
    def __init__(self):
        self.cache = caches['default']

    def get_session_store(self, session_key):
        return RedisSessionStore(session_key, self.cache)

2. 中间件链自定义

# myapp/middleware.py
class MyMiddleware:
    def process_request(self, request):
        print("MyMiddleware: process_request")
        request.my_data = "custom data"
    
    def process_response(self, request, response):
        print("MyMiddleware: process_response")
        return response
# settings.py
MIDDLEWARE = [
    'myapp.middleware.MyMiddleware',
    'django.middleware.security.SecurityMiddleware',
    # 其他中间件...
]

八、性能与工程实践

1. 性能优化策略

优化策略说明示例
使用缓存将Session存储到RedisSESSION_ENGINE = 'django.contrib.sessions.backends.cache'
减少Cookie大小压缩sessionid设置SESSION_COOKIE_DOMAIN
增加Session超时减少无效存储SESSION_COOKIE_AGE = 3600

2. 安全实践

安全措施实现方式说明
防止CSRF使用@csrf_exempt暂时禁用防护
防止XSS设置httponly防止JavaScript访问
加密传输设置secure强制HTTPS传输

九、常见问题与踩坑

1. 常见错误案例

# 错误示例：AJAX请求未携带CSRF token
$.ajax({
    url: '/api/data',
    method: 'POST',
    data: { key: 'value' }
});

问题分析：

  • 缺少X-CSRFToken头
  • 未使用csrf_token模板标签生成token
  • 未在请求中携带Cookie

解决方案：

# 在模板中添加
{% csrf_token %}
// 在AJAX请求中添加
$.ajax({
    url: '/api/data',
    method: 'POST',
    data: { key: 'value' },
    headers: {
        'X-CSRFToken': $('input[name=csrfmiddlewaretoken]').val()
    }
});

2. 中间件执行顺序问题

错误案例：

# 中间件顺序错误
MIDDLEWARE = [
    'myapp.middleware.MyMiddleware',
    'django.middleware.security.SecurityMiddleware',
]

问题分析：

  • SecurityMiddleware需要在CommonMiddleware之后
  • 某些中间件需要特定顺序才能正常工作

解决方案：

# 正确顺序
MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'myapp.middleware.MyMiddleware',
]

十、最佳实践

1. 推荐方案

场景推荐方案说明
用户认证使用Django内置的@login_required简单可靠
高并发场景使用RedisSessionEngine提高性能
跨域请求配置CSRF_TRUSTED_ORIGINS安全可靠
复杂业务使用自定义中间件灵活扩展

2. 使用建议

  • 对敏感操作必须使用CSRF保护
  • Session存储选择要考虑性能和可靠性
  • 中间件要按功能分类组织
  • 对关键数据要进行加密处理
  • 跨域请求要配置CSRF_TRUSTED_ORIGINS

十一、总结

Django的会话管理机制是Web开发中不可或缺的核心组件。通过深入理解Cookie和Session的协同工作、中间件的处理流程、CSRF防护机制，我们可以构建更安全、更高效的Web应用。在实际开发中需要注意：

  • 理解不同存储介质的性能差异
  • 合理配置中间件顺序
  • 正确处理跨域请求
  • 定期审查安全配置

特别是在涉及用户认证和敏感数据时，必须严格遵守安全规范。通过本文的深入分析和实际案例，相信读者能够更好地理解和应用Django的会话管理机制，构建更可靠的Web应用。

评论已关闭

推荐阅读

AIGC实战——Transformer模型
2024年12月01日
python , AI , 机器学习
Socket TCP 和 UDP 编程基础（Python）
2024年11月30日
python , tcp , udp
如何使用 ChatGPT 进行学术润色？你需要这些指令
2024年12月01日
AI
最新 Python 调用 OpenAi 详细教程实现问答、图像合成、图像理解、语音合成、语音识别（详细教程）
2024年11月24日
python , AI
ChatGPT 和 DALL·E 2 配合生成故事绘本
2024年12月01日
python , AI
omegaconf，一个超强的 Python 库！
2024年11月24日
python
【视觉AIGC识别】误差特征、人脸伪造检测、其他类型假图检测
2024年12月01日
python , AI
［超级详细］如何在深度学习训练模型过程中使用 GPU 加速
2024年11月29日
python , AI , 机器学习
Python 物理引擎pymunk最完整教程
2024年11月27日
python
MediaPipe 人体姿态与手指关键点检测教程
2024年11月27日
python
深入了解 Taipy：Python 打造 Web 应用的全面教程
2024年11月26日
python
基于Transformer的时间序列预测模型
2024年11月25日
python , Matplotlib , 机器学习
Python在金融大数据分析中的AI应用（股价分析、量化交易）实战
2024年11月25日
python , Matplotlib , 机器学习
AIGC Gradio系列学习教程之Components
2024年12月01日
python , AI
Python3 `asyncio` — 异步 I/O，事件循环和并发工具
2024年11月30日
python
llama-factory SFT系列教程：大模型在自定义数据集 LoRA 训练与部署
2024年12月01日
python , AI , 机器学习
Python 多线程和多进程用法
2024年11月24日
python
Python socket详解，全网最全教程
2024年11月27日
python , http , websocket
python之plot()和subplot()画图
2024年11月26日
python , Matplotlib
理解 DALL·E 2、Stable Diffusion 和 Midjourney 工作原理
2024年12月01日
python , AI , 机器学习
Copyright © 2026 Tech Blog
All Right Reserved | 京ICP备19053165号