专栏名称: 编程派
Python程序员都在看的公众号，跟着编程派一起学习Python，看最新国外教程和资源！
目录
相关文章推荐
Python爱好者社区  ·  同事年底绩效是C，提离职领导死活不让走，后来 ... ·  昨天  
小小的python学习社  ·  Python100道真题题库 ·  昨天  
Python爱好者社区  ·  DeepSeek满血版，来了！ ·  4 天前  
Python爱好者社区  ·  DeepSeek 被放弃了，阿里牛逼！ ·  3 天前  
Python开发者  ·  清北 DeepSeek ... ·  4 天前  
51好读  ›  专栏  ›  编程派

Flask 源码解析：session

编程派  · 公众号  · Python  · 2017-05-31 11:41

正文

原文： http://cizixs.com/2017/03/08/flask-insight-session

全文约 11700 字，读完可能需要 18 分钟。

这是 flask 源码解析系列文章的其中一篇，本系列已发布文章列表：

session 简介

在解析 session 的实现之前，我们先介绍一下 session 怎么使用。session 可以看做是在不同的请求之间保存数据的方法，因为 HTTP 是无状态的协议，但是在业务应用上我们希望知道不同请求是否是同一个人发起的。比如购物网站在用户点击进入购物车的时候，服务器需要知道是哪个用户执行了这个操作。

在 flask 中使用 session 也很简单，只要使用 from flask import session 导入这个变量，在代码中就能直接通过读写它和 session 交互。 

  1. from flask import Flask, session, escape, request
  3. app = Flask(__name__)
  4. app.secret_key = 'please-generate-a-random-secret_key'
  7. @app.route("/")
  8. def index():
  9.     if 'username' in session:
  10.         return 




    
'hello, {}n'.format(escape(session['username']))
  11.     return 'hello, strangern'
  14. @app.route("/login", methods=['POST'])
  15. def login():
  16.     session['username'] = request.form['username']
  17.     return 'login success'
  19. 




    

  20. if __name__ == '__main__':
  21.     app.run(host='0.0.0.0', port=5000, debug=True)

上面这段代码模拟了一个非常简单的登陆逻辑，用户访问 POST / login 来登陆，后面访问页面的时候 GET / ，会返回该用户的名字。我们看一下具体的操作实例（下面的操作都是用 httpie 来执行的，使用 curl 命令也能达到相同的效果）：

直接访问的话，我们可以看到返回 hello stranger ： 

  1. ➜  ~ http -v http://127.0.0.1:5000/
  2. GET 




    
/ HTTP/1.1
  3. Accept: */*
  4. Accept-Encoding: gzip, deflate
  5. Host: 127.0.0.1:5000
  6. User-Agent: HTTPie/0.8.0
  9. HTTP/1.0 200 OK




    

  10. Content-Length: 14
  11. Content-Type: text/html; charset=utf-8
  12. Date: Wed, 01 Mar 2017 04:22:18 GMT
  13. Server: Werkzeug/0.11.2 Python/2.7.10
  15. hello stranger

然后我们模拟登陆请求， - v 是打印出请求， - f 是告诉服务器这是表单数据， \- - session = mysession 是把请求的 cookie 等信息保存到这个变量中，后面可以通过变量来指定 session： 

  1. ➜  ~ http -v -f --session=mysession POST http://127.0.0.1:5000/login username=cizixs
  2. POST /login HTTP/1.1
  3. Accept: */*
  4. Accept-Encoding: gzip, deflate




    

  5. Content-Length: 15
  6. Content-Type: application/x-www-form-urlencoded; charset=utf-8
  7. Host: 127.0.0.1:5000
  8. User-Agent: HTTPie/0.8.0
  9. 




    

  10. username=cizixs
  12. HTTP/1.0 200 OK
  13. Content-Length: 13
  14. Content-Type: text/html; charset=utf-8
  15. Date: Wed, 01 Mar 2017 04:20:54 GMT




    

  16. Server: Werkzeug/0.11.2 Python/2.7.10
  17. Set-Cookie: session=eyJ1c2VybmFtZSI6ImNpeml4cyJ9.C5fdpg.fqm3FTv0kYE2TuOyGF1mx2RuYQ4; HttpOnly; Path=/
  19. login success

最重要的是我们看到 response 中有 Set - Cookie 的头部，cookie 的键是 session ，值是一堆看起来随机的字符串。

继续，这个时候我们用 \- - session = mysession 参数把这次的请求带上保存在 mysession 中的信息，登陆后访问，可以看到登陆的用户名： 

  1. ➜  ~ http -v --session=mysession http://127.0.0.1:5000/
  2. GET 




    
/ HTTP/1.1
  3. Accept: */*
  4. Accept-Encoding: gzip, deflate
  5. Cookie: session=eyJ1c2VybmFtZSI6ImNpeml4cyJ9.C5fevg.LE03yEZDWTUMQW-nNkTr1zBEhKk
  6. Host: 127.0.0.1:5000




    

  7. User-Agent: HTTPie/0.8.0
  10. HTTP/1.0 200 OK
  11. Content-Length: 11




    

  12. Content-Type: text/html; charset=utf-8
  13. Date: Wed, 01 Mar 2017 04:25:46 GMT
  14. Server: Werkzeug/0.11.2 Python/2.7.10
  15. Set-Cookie: session=eyJ1c2VybmFtZSI6ImNpeml4cyJ9.C5feyg.sfFCDIqfef4i8cvxUClUUGQNcHA; HttpOnly; Path=/




    

  17. hellocizixs

这次注意在发送的请求中，客户端带了 Cookie 头部，上面的值保存了前一个请求的 response 给我们设置的值。

总结一下：session 是通过在客户端设置 cookie 实现的，每次客户端发送请求的时候会附带着所有的 cookie，而里面保存着一些重要的信息（比如这里的用户信息），这样服务器端就能知道客户端的信息，然后根据这些数据做出对应的判断，就好像不同请求之间是有记忆的。

解析

我们知道 session 是怎么回事了，这部分就分析一下 flask 是怎么实现它的。

请求过程

不难想象，session 的大致解析过程是这样的：

  • 请求过来的时候，flask 会根据 cookie 信息创建出 session 变量（如果 cookie 不存在，这个变量有可能为空），保存在该请求的上下文中

  • 视图函数可以获取 session 中的信息，实现自己的逻辑处理

  • flask 会在发送 response 的时候，根据 session 的值，把它写回到 cookie 中

注意：session 和 cookie 的转化过程中，应该考虑到安全性，不然直接使用伪造的 cookie 会是个很大的安全隐患。

在 flask 上下文那篇文章 中，我们知道，每次请求过来的时候，我们访问的 request 和 session 变量都是 RequestContext 实例的变量。在 RequestContext . Push () 方法的最后有这么一段代码： 

  1. self




    
.session = self.app.open_session(self.request)
  2. if self.session is None:
  3.     self.session = self.app.make_null_session()

它初始化了 session 变量，保存在 RequestContext 上，这样后面就能直接通过 from flask import session 来使用它。如果没有设置 secret_key 变量， open_session 就会返回 None，这个时候会调用 make_null_session 来生成一个空的 session，这个特殊的 session 不能进行任何读写操作，不然会报异常给用户。

我们来看看 open_session 方法： 

  1. def open_session(self, request):
  2.     




    
return self.session_interface.open_session(self, request)

在 Flask 中，所有和 session 有关的调用，都是转发到 self . session_interface 的方法调用上（这样用户就能用自定义的 session_interface 来控制 session 的使用）。而默认的 session_inerface 有默认值： 

  1. session_interface = SecureCookieSessionInterface()

后面遇到 session 有关方法解释，我们会直接讲解 SecureCookieSessionInterface 的代码实现，跳过中间的这个转发说明。 

  1. null_session_class = NullSession
  3. def




    
 make_null_session(self, app):
  4.     return self.null_session_class()
  6. def open_session(self, app, request):




    

  7.     # 获取 session 签名的算法
  8.     s = self.get_signing_serializer(app)
  9.     if s is None:
  10.         




    
return None
  12.     # 从 cookie 中获取 session 变量的值
  13.     val 




    
= request.cookies.get(app.session_cookie_name)
  14.     if not val:
  15.         return self.session_class()
  16. 




    

  17.     # 因为 cookie 的数据需要验证是否有篡改，所以需要签名算法来读取里面的值
  18.     max_age = total_seconds(app.permanent_session_lifetime)
  19.     




    
try:
  20.         data = s.loads(val, max_age=max_age)
  21.         return self.session_class(data)
  22.     




    
except BadSignature:
  23.         return self.session_class()

open_session 根据请求中的 cookie 来获取对应的 session 对象。之所以有 app 参数，是因为根据 app 中的安全设置（比如签名算法、secret_key）对 cookie 进行验证。

这里有两点需要特殊说明的：签名算法是怎么工作的？session 对象到底是怎么定义的？

session 对象

默认的 session 对象是 SecureCookieSession ，这个类就是一个基本的字典，外加一些特殊的属性，比如 permanent （flask 插件会用到这个变量）、 modified （表明实例是否被更新过，如果更新过就要重新计算并设置 cookie，因为计算过程比较贵，所以如果对象没有被修改，就直接跳过）。 

  1. class SessionMixin(object):
  2.     def _get_permanent(self):
  3.         




    
return self.get('_permanent', False)
  5.     def _set_permanent(self, value):
  6.         self




    
['_permanent'] = bool(value)
  8.     




    
#: this reflects the ``'_permanent'`` key in the dict.
  9.     permanent = property(_get_permanent, _set_permanent)
  10.     del _get_permanent, _set_permanent
  11. 




    

  12.     modified = True
  14. class




    
 SecureCookieSession(CallbackDict, SessionMixin):
  15.     """Base class for sessions based on signed cookies."""
  16. 




    

  17.     def __init__(self, initial=None):
  18.         def on_update(self




    
):
  19.             self.modified = True
  20.         CallbackDict.__init__(self, initial, on_update)
  21.         self




    
.modified = False

怎么知道实例的数据被更新过呢？ SecureCookieSession 是基于 werkzeug / datastructures : CallbackDict 实现的，这个类可以指定一个函数作为 on_update 参数，每次有字典操作的时候（ __setitem__ 、 __delitem__ 、 clear 、 popitem 、 update 、 pop 、 setdefault ）会调用这个函数。

NOTE ： CallbackDict 的实现很巧妙，但是并不复杂，感兴趣的可以自己参考代码。主要思路就是重载字典的一些更新操作，让它们在做原来事情的同时，额外调用一下实现保存的某个函数。

对于开发者来说，可以把 session 简单地看成字典，所有的操作都是和字典一致的。

签名算法

都获取 cookie 数据的过程中，最核心的几句话是： 

  1. s 




    
= self.get_signing_serializer(app)
  2. val = request.cookies.get(app.session_cookie_name)
  3. data 




    
= s.loads(val, max_age=max_age)
  5. return




    
 self.session_class(data)

其中两句都和 s 有关， signing_serializer 保证了 cookie 和 session 的转换过程中的安全问题。如果 flask 发现请求的 cookie 被篡改了，它会直接放弃使用。

我们继续看 get_signing_serializer 方法： 

  1. def get_signing_serializer(self, app):
  2.     




    
if not app.secret_key:
  3.         return None
  4.     signer_kwargs = dict(




    

  5.         key_derivation=self.key_derivation,
  6.         digest_method=self.digest_method
  7.     




    
)
  8.     return URLSafeTimedSerializer(app.secret_key,
  9.         salt




    
=self.salt,
  10.         serializer=self.serializer,
  11.         signer_kwargs




    
=signer_kwargs)

我们看到这里需要用到很多参数：

  • secret_key ：密钥。这个是必须的，如果没有配置 secret_key 就直接使用 session 会报错

  • salt ：为了增强安全性而设置一个 salt 字符串（可以自行搜索“安全加盐”了解对应的原理）

  • serializer ：序列算法

  • signer_kwargs ：其他参数，包括摘要/hash 算法（默认是 sha1 ）和 签名算法（默认是 hmac ）

URLSafeTimedSerializer 是 itsdangerous 库的类，主要用来进行数据验证，增加网络中数据的安全性。 itsdangerours 提供了多种 Serializer ，可以方便地进行类似 json 处理的数据序列化和反序列的操作。至于具体的实现，因为篇幅限制，就不解释了。

应答过程

flask 会在请求过来的时候自动解析 cookie 的值，把它变成 session 变量。开发在视图函数中可以使用它的值，也可以对它进行更新。最后再返回的 response 中，flask 也会自动把 session 写回到 cookie。我们来看看这部分是怎么实现的！

之前的文章讲解了应答的过程，其中 finalize_response 方法在根据视图函数的返回生成 response 对象之后，会调用 process_response 方法进行处理。 process_response 方法的最后有这样两句话： 

  1. def process_response(






请到「今天看啥」查看全文


推荐文章
Python爱好者社区  ·  同事年底绩效是C，提离职领导死活不让走，后来领导私下说：他走了，就没人背这个绩效了。
昨天
小小的python学习社  ·  Python100道真题题库
昨天
Python爱好者社区  ·  DeepSeek满血版，来了！
4 天前
Python爱好者社区  ·  DeepSeek 被放弃了，阿里牛逼！
3 天前
Python开发者  ·  清北 DeepSeek 教程"神仙打架"，北大出品的 DeepSeek 教程来了！（PDF 可下载）
4 天前
大爱猫咪控  ·  这只流浪喵死活不肯让人收养，也不踏进人类的领域，但这次...
8 年前
咱是闽南人  ·  天不怕，地不怕，就怕黑人讲闽南话，笑抽了.....
7 年前
数码评价  ·  处理器独一无二、外观惹争议，想不到魅族颜值最高手机竟是它
7 年前
中国军事  ·  最强后盾：这就是新中国“8万吨的外交”
7 年前
头图  ·  ​女生是怎样看待腹肌男的？
7 年前
Sov5搜索   ·   小百科   ·   今天看啥   ·   移动版
51好读 - 好文章就要读起来!