tornado 8、用户登录验证 secure_cookie

迈不过友情╰ 2021-09-11 01:18 681阅读 0赞

## **一、介绍** ##

目前大多数服务器判断用户是否登录一般通过session机制，Tornado 通过 set\_secure\_cookie 和 get\_secure\_cookie 方法直接支持了这种功能。原理类似于session，只不过session是服务器自动生成一个sessionID存储在cookie里，而tornado需要我们手工设cookie。然后通过self.current\_user的重载函数就可以实现用户的验证。

## **二、安全cookie** ##

1.设置cookie\_secret:  
　　加密cookie是签名过的 cookie 。包含了编码过的 cookie 值，一个时间戳和一个 HMAC 签名。如果 cookie 已经过期或者 签名不匹配，get\_secure\_cookie 将返回 None，这和没有设置 cookie 时的 返回值是一样的。  
**这里需要注意一点：**

> tornado只是对cookie进行了签名，但是并没有进行加密。也就是说用户的cookie值进行BASE64转换后就能够看到你设置的cookie值。所以不能在cookie设置隐私信息。而只是将用户ID存入，证明用户已经登录。[Base64编码][Base64]

application = tornado.web.Application([
        (r"/", MainHandler),
    ], cookie_secret="61oETzKXQAGaYdghdhgfhfhfg")

或：

settings = {
         'cookie_secret' : '2bd7rtaw3i7fegrtrhdrytrftey5e',
         "login_url": "/#/",    //login_url用于用户未登录时跳转到此地址，与后面提到的authenticated装饰器有关。
    }
    application = tornado.web.Application([
        (r'/api/school/list', question.SchoolListHandler),
    ], **settings)

2.设置和获取cookie:

class MainHandler(tornado.web.RequestHandler):
        def get(self):
            if not self.get_secure_cookie("userid"):     //获取
                self.set_secure_cookie("userid", "123456789")     //设置

3.清除cookie

self.set_cookie('user', '')  //赋值为空字符串，注意清除安全cookie时不能使用set_secure_cookie("userid", "")，这样做法tornado只是加密了一个字符串，安全cookie还在。
    或者
    self.clear_cookie("userid")

4.普通cookie  
　　tornado同时提供一般cookie设置方法：  
　　self.get\_cookie(“name”)  
　　self.set\_cookie(“name”)

## **二、current\_user属性** ##

tornado请求处理类有一个current\_user属性可以用来存储为当前请求进行用户验证的标识。我们可以在handle中获取它的值。其默认值为None。  
1.重载get\_current\_user:  
　　要使用current\_user属性，首先我们需要重载get\_current\_user函数，可以看到我们在函数中返回安全cookie的值，如果已经设置表明用户已经登录，未设置表明用户未登录。通过设置的用户安全cookie，我们可以从数据库中获取相关信息。

class BaseHandler(tornado.web.RequestHandler):
        def get_current_user(self):
            return self.get_secure_cookie("userid")

2.使用current\_user:  
用户访问时，tornado会自动将get\_current\_user函数的返回值赋给current\_user，所以我们可以在handle中直接使用。

class MainHandler(tornado.web.RequestHandler):
        def get(self):
                userid = self.current_user

## **三、authenticated装饰器** ##

如果每次需要我们自己通过self.current\_user判断用户是否登录是否很麻烦？tornado使用帮助我们解决这个问题。只需要在get，post方法前使用@tornado.web.authenticated，当用户未登录时，tornado将不会运行这个方法。

class BaseHandler(tornado.web.RequestHandler):
        @tornado.web.authenticated //get方法，当用户未登录时会跳到login_url设置的地址，login_url设置方法看上面《二、安全cookie》中
        def get(self):
            return self.get_secure_cookie("userid")
        @tornado.web.authenticated //post方法，当用户未登录时会返回404错误
        def post(self):
            return self.get_secure_cookie("userid")

## **四、整个代码** ##

import tornado.httpserver
    import tornado.ioloop
    import tornado.web
    import tornado.options
    import os.path
    
    from tornado.options import define, options
    define("port", default=8000, help="run on the given port", type=int)
    
    class BaseHandler(tornado.web.RequestHandler):
        def get_current_user(self):
            return self.get_secure_cookie("username")
    
    class LoginHandler(BaseHandler):
        def get(self):
            self.render('login.html')
        def post(self):
            self.set_secure_cookie("username", self.get_argument("username"))
            self.redirect("/")
    
    class WelcomeHandler(BaseHandler):
        @tornado.web.authenticated
        def get(self):
            self.render('index.html', user=self.current_user)
    
    class LogoutHandler(BaseHandler):
        def get(self):
        if (self.get_argument("logout", None)):
            self.clear_cookie("username")
            self.redirect("/")
    
    if __name__ == "__main__":
        tornado.options.parse_command_line()
        settings = {
            "template_path": os.path.join(os.path.dirname(__file__), "templates"),
            "cookie_secret": "bZJc2sWbQLKos6GkHn/VB9oXwQt8S0R0kRvJ5/xJ89E=",
            "xsrf_cookies": True,
            "login_url": "/login"
        }
    
        application = tornado.web.Application([
            (r'/', WelcomeHandler),
            (r'/login', LoginHandler),
            (r'/logout', LogoutHandler)
        ], **settings)
    
        http_server = tornado.httpserver.HTTPServer(application)
        http_server.listen(options.port)
        tornado.ioloop.IOLoop.instance().start()

[Base64]: http://blog.csdn.net/qq_16234613/article/details/53161078