---

cookie不安全，会把所有敏感数据放到浏览器保存。

session是把敏感数据存到自己的服务器中给浏览器一把钥匙就行了（是基于cookie完成的）。

Django 提供对匿名会话(session)的完全支持。这个会话框架让你可以存储和取回每个站点访客任意数据。它在服务器端存储数据, 并以cookies的形式进行发送和接受数据。

1.session流程图

• 创建一把随机字符串 钥匙。

• 把随机字符串和请求数据键值对组成的数据 放到django-session表里去 （绿色部分都是django的中间件实现的）。

• 将钥匙按照cookie方式传给浏览器（浏览器只保留钥匙）。

2.session语法与案例

# 1、设置Sessions值request.session['session_name'] ="admin"
# 2、获取Sessions值session_name = request.session["session_name"]
# 3、删除Sessions值del request.session["session_name"]
# 4、flush()# 删除当前的会话数据并删除会话的Cookie。这用于确保前面的会话数据不可以再次被用户的浏览器访问def s_login(request):if request.method == "GET":return render(request, "login.html")else:user = request.POST.get("user")pwd = request.POST.get("pwd")try:user_obj = User.objects.get(user=user,pwd=pwd)# 写session# 1、中间件会自己创建随机字符# 2、将随机字符串作为session-key 将session作为session-data 插入到djang-session表中（自带的）  # 3、session_id和随机字符串组成键值作为cookie返回客户端request.session["is_login"] = Truerequest.session["username"] = user_obj.userreturn redirect("/s_index/")except:return redirect("/s_login/")def s_index(request):# 读session# 1、去session_id的钥匙# 2、去django-session表中查询符合条件的记录# 3、将取出的session-data.get('is_login')is_login = request.session.get("is_login")if is_login:# 登录成功过username = request.session.get("username")return render(request, "index.html", {"user": username})else:# 登录没成功return redirect("/s_login/")
'''
shop.html:
<p>
客户端最后一次访问时间：{{ last_time|default:"第一次访问" }}
</p>
<h3>商品页面</h3>
'''def shop(request):last_time = request.session.get("last_time")now = datetime.datetime.now().strftime("%Y-%m-%d %X")request.session["last_time"] = nowreturn render(request, "shop.html", {"last_time": last_time})# 退出登录 删除session
def s_logout(request):# 暴力删除会删除整条记录 访问时间也没有了# request.session.flush()# del比较友好 只删除指定的数据删除del request.session["username"]del request.session["is_login"]return redirect("/s_login/")session 在服务器端，cookie 在客户端（浏览器）session 默认被存在在服务器的一个数据库（不是内存）session 的运行依赖 session id，而 session id 是存在 cookie 中的.session 可以放在 文件、数据库、或内存中都可以。用户验证这种场合一般会用 session

3.session配置

# Django默认支持Session，并且默认是将Session数据存储在数据库中，即：django_session 表中。
# 配置 settings.pySESSION_ENGINE = 'django.contrib.sessions.backends.db'  # 引擎（默认）SESSION_COOKIE_NAME ＝ "sessionid"  # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）
SESSION_COOKIE_PATH ＝ "/"          # Session的cookie保存的路径（默认）
SESSION_COOKIE_DOMAIN = None        # Session的cookie保存的域名（默认）
SESSION_COOKIE_SECURE = False       # 是否Https传输cookie（默认）
SESSION_COOKIE_HTTPONLY = True      # 是否Session的cookie只支持http传输（默认）
SESSION_COOKIE_AGE = 1209600        # Session的cookie失效日期（2周）（默认）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False  # 是否关闭浏览器使得Session过期（默认）
SESSION_SAVE_EVERY_REQUEST = False  # 是否每次请求都保存Session，默认修改之后才保存（默认）