flask中的session介绍

在这里插入图片描述

flask中的session介绍

在Flask中，session是一个用于存储特定用户会话数据的字典对象。它在不同请求之间保存数据。它通过在客户端设置一个签名的cookie，将所有的会话数据存储在客户端。以下是如何在Flask应用中使用session的基本步骤：

首先，你需要设置一个秘钥，这是为了加密你的session数据：

from flask import Flask, sessionapp = Flask(__name__)# Set the secret key to some random bytes. Keep this really secret!
app.secret_key = b'_5#y2L"F4Q8z\n\xec]/'

然后，你可以像操作字典一样操作session对象。以下是一个登录的例子：

from flask import Flask, session, redirect, url_for, escape, requestapp = Flask(__name__)
app.secret_key = b'_5#y2L"F4Q8z\n\xec]/'#from flask import escape
# 假设 session['username'] 是 "<script>alert('hacked!');</script>"
#safe_username = escape(session['username'])
# safe_username 现在是 "&lt;script&gt;alert('hacked!');&lt;/script&gt;"
# escape(session['username'])是在做HTML转义@app.route('/')
def index():if 'username' in session:return 'Logged in as %s' % escape(session['username'])return 'You are not logged in'@app.route('/login', methods=['GET', 'POST'])
def login():error = Noneif request.method == 'POST':username = request.form['username']password = request.form['password']if valid_login(username, password):session['username'] = request.form['username']return redirect(url_for('index'))else:error = 'Invalid username or password'return render_template('login.html', error=error)@app.route('/logout')
def logout():# remove the username from the session if it's theresession.pop('username', None)return redirect(url_for('index'))

Flask的session实现涉及到几个关键的组件：session对象、session_interface对象以及secure_cookie模块。以下是这些组件是如何工作以实现Flask的session的：

  1. Session对象：在Flask中，session被表示为一个名为session的字典对象。它是LocalProxy的实例，LocalProxy是一种可以动态引用当前运行环境（比如请求或应用上下文）的特定对象的代理类。当你尝试访问session对象的属性或方法时，LocalProxy会将这些操作转发到实际的会话对象，这个实际的会话对象由session_interface创建。
  2. SessionInterface对象：SessionInterface是一个抽象基类，定义了用于处理session的接口。Flask自带的SecureCookieSessionInterface实现了这个接口，使用安全的签名cookie来存储session数据。当一个请求开始时，SecureCookieSessionInterface会从请求的cookies中提取出session数据，并创建一个新的SecureCookieSession对象。当请求结束时，如果SecureCookieSession对象被修改，SecureCookieSessionInterface会把它序列化并签名，然后存回到客户端的cookies中。【文末附源码解释】
  3. SecureCookie模块：这个模块实现了SecureCookieSession类，SecureCookieSession是一个用于存储实际session数据的字典子类，它的工作方式和普通的字典一样。

整体来看，Flask的session实现工作流程是这样的：

  • 当一个请求开始时，Flask会创建一个新的请求上下文，并通过SecureCookieSessionInterface从请求的cookies中提取出session数据，然后创建一个新的SecureCookieSession对象。
  • 当你在你的视图函数中操作session对象（比如设置session['username'] = 'John'）时，实际上你是在操作这个SecureCookieSession对象。
  • 当请求结束时，Flask会检查SecureCookieSession对象是否被修改。如果被修改，Flask会通过SecureCookieSessionInterface和SecureCookie将SecureCookieSession对象序列化并签名，然后把它存回到响应的cookies中。
  • 当下一个请求来到时，这个过程会再次重复。

通常流程总结

  1. 当一个新用户（没有任何session数据的用户）首次访问你的Flask应用时，他们的请求中不会包含任何session数据。在这种情况下，Flask会为这个用户创建一个新的、空的session对象。这个新的session对象在初始状态下是空的，也就是说，它不包含任何数据。
  2. 如果在处理这个请求的过程中，你的代码修改了session对象（例如，通过设置session['username'] = 'John'），那么当请求结束时，Flask会把这个session对象序列化并签名，然后存入一个新的Cookie中。这个新的Cookie会被发送到客户端，一起与响应一起传送。
  3. 当这个用户下次访问你的Flask应用时，他们的请求将会携带这个包含了session数据的Cookie。Flask会在接收到这个请求时，从Cookie中提取出session数据，并创建一个新的session对象。这样，你的代码就可以继续访问和修改这个session对象了。

需要注意的是，如果一个请求没有修改session对象，那么Flask就不会在响应中设置新的Cookie。这是因为，没有必要把一个没有变化的session数据再次发送到客户端。

因此，即使一个新用户的首次请求中没有包含任何session数据，Flask也能正确地处理

SecureCookieSessionInterface

class SecureCookieSessionInterface(SessionInterface):"""The default session interface that stores sessions in signed cookiesthrough the :mod:`itsdangerous` module."""#: the salt that should be applied on top of the secret key for the#: signing of cookie based sessions.salt = "cookie-session"#: the hash function to use for the signature.  The default is sha1digest_method = staticmethod(hashlib.sha1)#: the name of the itsdangerous supported key derivation.  The default#: is hmac.key_derivation = "hmac"#: A python serializer for the payload.  The default is a compact#: JSON derived serializer with support for some extra Python types#: such as datetime objects or tuples.serializer = session_json_serializersession_class = SecureCookieSessiondef get_signing_serializer(self, app: Flask) -> URLSafeTimedSerializer | None:if not app.secret_key:return Nonesigner_kwargs = dict(key_derivation=self.key_derivation, digest_method=self.digest_method)return URLSafeTimedSerializer(app.secret_key,salt=self.salt,serializer=self.serializer,signer_kwargs=signer_kwargs,)def open_session(self, app: Flask, request: Request) -> SecureCookieSession | None:s = self.get_signing_serializer(app)if s is None:return Noneval = request.cookies.get(self.get_cookie_name(app))if not val:return self.session_class()# 获取session的最大有效期，单位为秒。max_age = int(app.permanent_session_lifetime.total_seconds())try:# 尝试使用序列化器s的loads方法，对session cookie的值val进行反序列化和签名验证。如果反序列化和验证成功，就用这些数据创建一个新的session对象，并返回data = s.loads(val, max_age=max_age)return self.session_class(data)except BadSignature:return self.session_class()def save_session(self, app: Flask, session: SessionMixin, response: Response) -> None:name = self.get_cookie_name(app)domain = self.get_cookie_domain(app)path = self.get_cookie_path(app)secure = self.get_cookie_secure(app)samesite = self.get_cookie_samesite(app)httponly = self.get_cookie_httponly(app)# Add a "Vary: Cookie" header if the session was accessed at all.if session.accessed:response.vary.add("Cookie")# If the session is modified to be empty, remove the cookie.# If the session is empty, return without setting the cookie.if not session:if session.modified:response.delete_cookie(name,domain=domain,path=path,secure=secure,samesite=samesite,httponly=httponly,)response.vary.add("Cookie")returnif not self.should_set_cookie(app, session):returnexpires = self.get_expiration_time(app, session)val = self.get_signing_serializer(app).dumps(dict(session))  # type: ignoreresponse.set_cookie(name,val,  # type: ignoreexpires=expires,httponly=httponly,domain=domain,path=path,secure=secure,samesite=samesite,)response.vary.add("Cookie")
  1. SecureCookieSessionInterface类：这个类实现了session接口，使用安全的签名cookies来存储session数据。
  2. 类属性：
    • salt：加盐值，用于混淆session的加密过程，增加安全性。
    • digest_method：哈希函数，用于签名过程中对数据进行哈希处理，默认为sha1。
    • key_derivation：关键字派生，设置为"hmac"，表示使用HMAC进行签名。
    • serializer：序列化器，用于将Python对象转换为可以在网络上传输的格式，这里使用的是JSON序列化器。
    • session_class：表示session的类，默认为SecureCookieSession。
  3. get_signing_serializer方法：用于获取一个签名序列化器，其作用是用来签名和反签名cookies的。如果应用没有设置秘钥app.secret_key，则返回None。
  4. open_session方法：在处理每个请求时调用，从请求的cookies中提取出session数据，反序列化并验证签名，得到session的数据。如果签名不合法，就会抛出BadSignature异常，然后返回一个空的session。
  5. save_session方法：在每个请求处理完后调用，将session数据序列化，签名，然后存入到响应的cookies中。如果session为空且已被修改，则删除cookie。只有当session被访问过或被修改，才会设置Vary: Cookie头。

在使用SecureCookieSessionInterface处理session时，Flask会保证session的安全性，即使session数据存储在客户端的cookies中，也无法被篡改，因为每个session cookie都被签名了。除非知道服务器的秘钥，否则无法伪造有效的session cookie。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/13572.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

github Recv failure: Connection reset by peer

github Recv failure: Connection reset by peer

Recv failure: Connection reset by peer 背景处理ping一下github网页访问一下github项目git配置git ssh配置再次尝试拉取 疑惑点待研究参考 背景 晚上敲着代码准备提交&#xff0c;执行git pull&#xff0c;报错Recv failure: Connection reset by peer。看着这报错我陷入了沉…
阅读更多...
【fly-iot飞凡物联】（12）：EMQX 5.1使用docker 本地部署，接入到Actorcloud的数据库中，成功连接创建的设备，可以控制设备访问状态

【fly-iot飞凡物联】（12）：EMQX 5.1使用docker 本地部署，接入到Actorcloud的数据库中，成功连接创建的设备，可以控制设备访问状态

目录 前言1&#xff0c;关于2&#xff0c;使用docker 进行部署3&#xff0c;配置API key 可以使用接口访问的4&#xff0c;设置客户端认证&#xff0c;连接PostgreSQL 数据连接5&#xff0c;使用客户端进行连接6&#xff0c;EMQX的API 接口地址7&#xff0c;总结 前言 本文的原…
阅读更多...
应用层协议——http

应用层协议——http

文章目录 1. HTTP协议1.1 认识URL1.2 urlencode和urldecode1.3 HTTP协议格式1.3.1 HTTP请求1.3.2 HTTP响应1.3.3 外网测试1.3.4 添加html文件1.3.5 HTTP常见Header1.3.6 GET和POST 1.4 HTTP的状态码1.4.1 301和3021.4.2 代码实现 1.5 Cookie1.5.1 代码验证1.5.2 Cookiesession …
阅读更多...
JetBrains 为测试自动化打造的强大 IDE-Aqua

JetBrains 为测试自动化打造的强大 IDE-Aqua

QA 和测试工程对现代软件开发必不可少。 在 JetBrains&#xff0c;我们相信使用正确的工具对每项工作都很重要。 对我们来说&#xff0c;为自动化测试开发创建单独的工具是自然而然的事&#xff0c;因为这使我们能够满足多角色软件开发团队的需求。 我们很高兴能够推出 JetBra…
阅读更多...
Transformer背景介绍

Transformer背景介绍

目录 Transformer的诞生Transformer的优势Transformer的市场 Transformer的诞生 论文地址 Transformer的优势 Transformer的市场
阅读更多...
MHA高可用配置及故障切换

MHA高可用配置及故障切换

文章目录 MHA高可用配置及故障切换一. MySQL MHA1.什么是MHA&#xff12;.&#xff2d;&#xff28;&#xff21;的组成&#xff12;.&#xff11;MHA　Node (数据节点)&#xff12;.&#xff12;MHA Manager (管理节点) &#xff13;.&#xff2d;&#xff28;&#xff21;的特…
阅读更多...
【观察】以超融合创新架构，加速企业应用现代化

【观察】以超融合创新架构，加速企业应用现代化

我们知道&#xff0c;数字化转型的不断加速&#xff0c;核心就是应用的加速。在整个数字化体系中&#xff0c;软件应用是让一切发挥价值的落地路径。在应用发挥能力之前&#xff0c;企业需要进行大量软硬件准备以及应用开发工作&#xff1b;在应用开始发挥能力之&#xff0c;企…
阅读更多...
认识什么是架构

认识什么是架构

目录 ​编辑 一、架构是什么 1.1 系统与子系统 1.1.1 系统 1.1.1.1 关联 1.1.1.2 规则 1.1.1.3 能力 1.1.2 子系统 1.2 模块与组件 1.2.1 模块 1.2.2 组件 1.3 框架与架构 1.3.1 框架 1.3.2 架构 1.3.2.1 架构定义 1.3.2.2 架构组成 1.3.2.2.1 要素 1.3.2.2.2 结构 1.3.2…
阅读更多...
从零开始理解Linux中断架构（23)中断运行临界区和占先调度

从零开始理解Linux中断架构（23)中断运行临界区和占先调度

Linux在内核中定义了6种运行临界区。 in_interrupt in_interrupt在驱动中使用频率最高的函数了，in_interrupt（）就是指示Core是否正在中断处理中，包含了硬中断，软中断运行临界区。如果在中断处理中，则不能调用__do_softirq执行软中断处理。硬中断中不可调度不可中断，所有…
阅读更多...
Linux vsftp三种模式的简单配置部署

Linux vsftp三种模式的简单配置部署

环境&#xff1a;Debian 6.1.27-1kali1 (2023-05-12) vsftpd 安装 --查看是否当前系统是否已安装 apt list --installed | grep vsftpd 没有安装的话&#xff0c;就正常安装 apt-get update apt-get install vsftpd 一、匿名用户模式 分享一些不重要文件&#xff0c;任…
阅读更多...
Android 通用带箭头提示窗

Android 通用带箭头提示窗

简介 自定义PopupWindow, 适用于提示类弹窗。 使用自定义Drawable设置带箭头的背景&#xff0c;测试控件和弹窗的尺寸&#xff0c;自动设置弹窗的显示位置&#xff0c;让箭头指向锚点控件的中间位置&#xff0c;且根据锚点控件在屏幕的位置&#xff0c;自动适配弹窗显示位置。…
阅读更多...
C++——STL容器之list链表的讲解

C++——STL容器之list链表的讲解

目录 一.list的介绍 二.list类成员函数的讲解 2.2迭代器 三.添加删除数据&#xff1a; 3.1添加&#xff1a; 3.2删除数据 四.排序及去重函数&#xff1a; 错误案例如下&#xff1a; 方法如下&#xff1a; 一.list的介绍 list列表是序列容器&#xff0c;允许在序列内的任何…
阅读更多...
css实现鼠标滑动左下角弹框带动画效果

css实现鼠标滑动左下角弹框带动画效果

代码 <div classNamekuang></div> css代码 .kuang {height: 500px;width: 400px;// background-color: #fff;position: absolute;z-index: 10;bottom: 0;transform: translateX(-390px)}.kuang:hover {animation: myanimation 3s linear 1;animation-fill-mode:f…
阅读更多...
Flowable-中间事件-空中间抛出事件

Flowable-中间事件-空中间抛出事件

定义 空中间抛出事件是一个 Throwing 事件&#xff0c;在 intermediateThrowEvent 元素下不加入任何的事件定 义元素&#xff0c;就构成一个空中间抛出事件。它通常用于表示流程中的某个状态&#xff0c;在实际使用的过程中可 以通过添加执行监听器&#xff0c;来表示流程状态…
阅读更多...
算法通关村第二关——两两交换链表中的节点的问题解析

算法通关村第二关——两两交换链表中的节点的问题解析

题目类型 链表反转 题目描述 给你一个链表&#xff0c;两两交换其中相邻的节点&#xff0c;并返回交换后链表的头节点&#xff0c;且必须在不修改节点内部的值的情况下完成本题&#xff0c;即&#xff1a;只能进行节点交换 效果图 题目分析 如果原始顺序是 dummy(虚拟头节点) …
阅读更多...
Linux学习之系统函数库

Linux学习之系统函数库

cat /etc/redhat-release看到操作系统的版本是CentOS Linux release 7.6.1810 (Core)&#xff0c;uname -r可以看到内核版本是3.10.0-957.21.3.el7.x86_64&#xff0c;bash --version可以bash的版本是4.2.46。 在/etc/init.d/functions有许多系统定义好的函数&#xff0c;比如…
阅读更多...
基于ChatGPT聊天的零样本信息提取7.25

基于ChatGPT聊天的零样本信息提取7.25

基于ChatGPT聊天的零样本信息提取 摘要介绍ChatIE用于零样本IE的多轮 QA 实验总结 摘要 零样本信息提取&#xff08;IE&#xff09;旨在从未注释的文本中构建IE系统。由于很少涉及人类干预&#xff0c;因此具有挑战性。 零样本IE减少了数据标记所需的时间和工作量。最近对大型…
阅读更多...
DevOps-Jenkins

DevOps-Jenkins

Jenkins Jenkins是一个可扩展的持续集成引擎&#xff0c;是一个开源软件项目&#xff0c;旨在提供一个开放易用的软件平台&#xff0c;使软件的持续集成变成可能。 官网 应用场景 场景一 研发人员上传开发好的代码到github代码仓库需要将代码下载nginx服务器部署手动下载再…
阅读更多...
递归实现 组合问题+排列问题（DFS)

递归实现 组合问题+排列问题（DFS)

目录 递归实现排列型枚举 递归实现排列类型枚举 II 递归实现组合型枚举 递归实现组合型枚举 II 递归实现指数型枚举 递归实现指数型枚举 II 递归不是循环&#xff0c;递归利用了系统栈&#xff0c;只要是函数都会被系统管理。当执行到函数地址入口时就会为函数在系统栈上分…
阅读更多...
mac 删除自带的ABC输入法保留一个搜狗输入法，搜狗配置一下可以减少很多的敲击键盘和鼠标点击次数

mac 删除自带的ABC输入法保留一个搜狗输入法，搜狗配置一下可以减少很多的敲击键盘和鼠标点击次数

0. 背景 对于开发者来说&#xff0c;经常被中英文切换输入法所困扰&#xff0c;我这边有一个方法&#xff0c;删除mac默认的ABC输入法 仅仅保留搜狗一个输入法&#xff0c;配置一下搜狗输入&#xff1a;哪些指定为英文输入&#xff0c;哪些指定为中文输入&#xff08;符号也可…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023