Python：Tornado 第二章：實(shí)戰(zhàn)演練：開發(fā)Tornado網(wǎng)站：第七節(jié)：安全Cookie機(jī)制

dmlllll 發(fā)布于2019-07-30 18:06 / 3473人閱讀

摘要：上一篇文章第二章實(shí)戰(zhàn)演練開發(fā)網(wǎng)站第六節(jié)異步與協(xié)程化下一篇文章第二章實(shí)戰(zhàn)演練開發(fā)網(wǎng)站第八節(jié)用戶身份認(rèn)證是很多網(wǎng)站為了辨別用戶的身份而存儲(chǔ)在用戶本地終端的數(shù)據(jù)，在中使用可以方便地對(duì)進(jìn)行讀寫。

上一篇文章：Python：Tornado 第二章：實(shí)戰(zhàn)演練：開發(fā)Tornado網(wǎng)站：第六節(jié)：異步與協(xié)程化
下一篇文章：Python：Tornado 第二章：實(shí)戰(zhàn)演練：開發(fā)Tornado網(wǎng)站：第八節(jié)：用戶身份認(rèn)證

Cookie是很多網(wǎng)站為了辨別用戶的身份而存儲(chǔ)在用戶本地終端(Client Side)d的數(shù)據(jù)，在Tornado中使用RequestHandler.get_cookie()、RequestHandler.set_cookie()可以方便地對(duì)Cookie進(jìn)行讀寫。

實(shí)例：Cookie的簡(jiǎn)單讀寫

import tornado.web

session_id = 1
class MainHandler(tornado.web.RequestHandler):
    def get(self):
        global session_id
        if not self.get_cookie("session"):
            self.set_cookie("session",str(session_id))
            session_id+=1
            self.write("設(shè)置新的session")
        else:
            self.write("已經(jīng)具有session")

if __name__ == "__main__":
    app=tornado.web.Application([
        ("/",MainHandler)
    ])
    app.listen("8888")
    tornado.ioloop.IOLoop.current().start()

本例中用get_cookie()函數(shù)判斷Cookie名【session】是否存在，如果不存在則為其賦予新的session_id.

在實(shí)際應(yīng)用中，Cookie經(jīng)常像本例這樣用于保存session信息。
因?yàn)镃ookie總是被保存在客戶端，所以如何保存其不被篡改是服務(wù)器端程序必須解決的問(wèn)題。
Tornado為Cookie提供了信息加密機(jī)制，使得客戶端無(wú)法隨意解析和修改Cookie的鍵值。

實(shí)例：安全的Cookie

代碼：

import tornado.web

session_id = 1
class MainHandler(tornado.web.RequestHandler):
    def get(self):
        global session_id
        #get_secure_cookie代替get_cookie
        if not self.get_secure_cookie("session"):
            #set_secure_cookie代替set_cookie
            self.set_secure_cookie("session",str(session_id))
            session_id+=1
            self.write("設(shè)置新的session")
        else:
            self.write("已經(jīng)具有session")

if __name__ == "__main__":
    app=tornado.web.Application([
        ("/",MainHandler)
    ],cookie_secret="JIA_MI_MI_YAO")
    app.listen("8888")
    tornado.ioloop.IOLoop.current().start()

對(duì)比上面的簡(jiǎn)單Cookie實(shí)例可以發(fā)現(xiàn)不同之處：

在tornado.web.Application對(duì)象初始化時(shí)賦予cookie_secret參數(shù)，該參數(shù)值時(shí)一個(gè)字符串，用于保存本網(wǎng)站Cookie加密時(shí)的密鑰。

在需要讀取cookie的地方使用RequestHandler.get_secure_cookie代替原來(lái)的RequestHandler.get_cookie調(diào)用。

在需要寫入Cookie的地方用RequestHandler.set_secure_cookie替換原來(lái)的RequestHandler.set_cookie調(diào)用，

這樣，就不需要擔(dān)心Cookie偽造的問(wèn)題了，但是cookie_secret參數(shù)值作為加密密鑰，需要好好保護(hù)，不能泄露。