3.1.8 Python中的cookie和安全

短命女 2022-05-26 03:06 138阅读 0赞

cookie是现在网站重要的内容，特别是当有用户登录的时候，所以有必要去学习和了解一下cookie。

因为HTTP协议是无状态的，即服务器不知道用户上一次做了什么，这严重阻碍了交互式Web应用程序的实现。cookie就是用来绕开HTTP的无状态性的“额外手段”之一。服务器可以设置或读取cookies中包含的信息，借此维护用户跟服务器会话中的状态。

cookie另一个典型的应用是，当登录一个网站时网站往往会请求用户输入用户名和密码，并且用户可以勾选“下次自动登录”。如果勾选了，那么下次访问同一网站时，用户会发现没输入用户名和密码就已经登录了。

cookie缺陷：

cookie会被附加在每个HTTP请求中，所以无形中增加了流量。

由于在HTTP请求中的cookie是明文传递的，所以安全性成问题（除非用HTTPS）。

cookie的大小限制在4KB左右，或许在某些情况下有点不够用。

对于用户来说，可以通过改变浏览器的设置来禁用cookie，也可以删除历史的cookie。

在Tornado中，也提供对cookie的读写函数，帮助我们管理和使用它。

set\_cookie()和 get\_cookie()是默认提供的两个方法，但它是明文不加密传输的。

在index.py文件的IndexHandler类的post()方法中，当用户登录，验证用户名和密码后，将用户名和密码存入cookie，内容：

\#!/usr/bin/env python

\# coding=utf-8

'''

Created on 2018年4月19日

'''

import tornado.web

import methods.readdb as mr

class IndexHandler(tornado.web.RequestHandler):

def get(self):

userNames = mr.selecr\_columns(table="users", column="name")

first\_user = userNames\[0\]\[0\]

self.render("index.html",user = first\_user)

def post(self):

userName = self.get\_argument("username")

passWord = self.get\_argument("password")

user\_infos = mr.select\_tab(table="users",column="\*",condition="name", value="'"+userName+"'")

if user\_infos:

db\_wd = user\_infos\[0\]\[2\]

if db\_wd == passWord:

self.set\_cookie(userName, passWord) \#设置cookie

self.write("Welcome you :"+userName)

else:

self.write("your password was not right.")

else:

self.write("There is no this user.")

上面代码中，较以前只增加了一句“self.set\_cookie（userName，passWord）”，再回到登录页面，将我在登录时输入的密码以明文的方式存储在cookie里

![20180424101936233][]

Tornado提供另外一种安全的方法： set\_secure\_cookie()和 get\_secure\_cookie()，之所以称其为安全cookie，是因为它以明文加密的方式传输。

此外，跟set\_cookie()的区别还在于，set\_secure\_cookie()执行后的cookie保存在磁盘中，直到它过期为止。也是因为这个原因，即使关闭浏览器，在失效时间以前，cookie都一直存在。

要是用set\_secure\_cookie()方法设置cookie，要先在 application.py文件的setting中进行如下配置：

\#!/usr/bin/env python

\# coding=utf-8

'''

Created on 2018年4月18日

'''

from url import url

import tornado.web

import os

settings = dict(

template\_path = os.path.join(os.path.dirname(\_\_file\_\_),"templates") ,

static\_path = os.path.join(os.path.dirname(\_\_file\_\_),"statics"),

cookie\_secret = "bZJc2sWbQLKos6GkHn/VB9oXwQt8S0R0kRvJ5/xJ89E="

)

application = tornado.web.Application(

handlers = url,

\*\*settings

)

其中“cookie\_secret="bZJc2sWbQLKos6GkHn/VB9oXwQt8S0R0kRvJ5/xJ89E="”是为此增加的，但是，它并不是真正的加密；因为tornado会将cookie值编码为Base-64字符串，并增加一个时间戳

和一个cookie内容的HMAC签名。通常这样生成：

>>> import base64,uuid

>>> base64.b64encode(uuid.uuid4().bytes)

'OfVFe1CJTu6dRE0at1mB0Q=='

如果想要更复杂的：

>>> import base64,uuid

>>> base64.b64encode(uuid.uuid4().bytes+uuid.uuid4().bytes)

'KpVR6u7YSwyLZGhjG51m8RYrv2hk00p4oY1K4IoVHGg='

这里得到的是一个随机字符串，用它作为cookie\_secret值。

然后修改 index.py中设置cookie那句话，变成：

self.set\_secure\_cookie(userName, passWord)

再看看效果：

![20180424101951677][]

麻烦了很多吧,如果要获取此cookie，用 self.get\_secure\_cookie（userName）即可。

这样还不是最安全，还可以更安全,设置httponly和secure属性，用来防范cookie投毒：

self.set\_secure\_cookie(userName, passWord, httponly=True, secure=True)

用这样的方法，浏览器通过SSL连接传递cookie，能够在一定程度上防范跨站脚本攻击。

[20180424101936233]: /images/20220526/7c87a1481fa145b8a0738129d2c194f2.png
[20180424101951677]: /images/20220526/464c369ff9744b7eb7c033eb21feff1a.png

3.1.8 Python中的cookie和安全

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关什么是Python中的cookie登陆

相关 Cookie 安全

相关 python中cookies怎么用_详解在Python程序中使用Cookie的教程

相关 318-学习STL的map和函数对象(1)

相关笔试经验之318

相关 python爬虫中的cookie详解

相关 cookie安全

相关 3.1.8 Python中的cookie和安全

相关 Djangoz中的Cookie和session

相关 Django中的cookie和session