Django 请求有时不包含通过 SSL 的会话答案

【问题标题】：Django requests sometimes doesn't contain sessions over SSLDjango 请求有时不包含通过 SSL 的会话
【发布时间】：2019-12-21 01:15:20
【问题描述】：

我在我的 Django Web 应用程序中遇到了一些奇怪的事情，我在数据库上使用会话来跟踪用户会话，但似乎通过 SSL，这些会话并没有留下来，我几乎没有线索为什么，但我有证据证明它是如何发生的。

我的主要问题是，我有一个观点，如果您已登录，它会将您重定向到索引，而在索引中，如果您未登录，则 in 会将您重定向到登录屏幕，所以会发生什么这是登录后，服务器会将我重定向到索引页面，但索引将获得“无”检查登录参数的会话，然后，在登录表单上再次检查会话，它实际上得到用户登录了，所以我进入了一个无限重定向循环，过了一会儿，chrome说页面重定向太多次了。

这是我的设置.py

"""
Django settings for rienpaAdmin project.

Generated by 'django-admin startproject' using Django 2.2.6.

For more information on this file, see
https://docs.djangoproject.com/en/2.2/topics/settings/

For the full list of settings and their values, see
https://docs.djangoproject.com/en/2.2/ref/settings/
"""

import os

# Build paths inside the project like this: os.path.join(BASE_DIR, ...)
BASE_DIR = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))


# Quick-start development settings - unsuitable for production
# See https://docs.djangoproject.com/en/2.2/howto/deployment/checklist/

# SECURITY WARNING: keep the secret key used in production secret!
SECRET_KEY = 'SecretKey'

# SECURITY WARNING: don't run with debug turned on in production!
DEBUG = False

ALLOWED_HOSTS = ['lodugo.com', 'www.lodugo.com']


# Application definition

INSTALLED_APPS = [
    'django.contrib.admin',
    'django.contrib.auth',
    'django.contrib.contenttypes',
    'django.contrib.sessions',
    'django.contrib.messages',
    'django.contrib.staticfiles',
    'main.apps.MainConfig',
]

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
]

ROOT_URLCONF = 'rienpaAdmin.urls'

TEMPLATES = [
    {
        'BACKEND': 'django.template.backends.django.DjangoTemplates',
        'DIRS': [],
        'APP_DIRS': True,
        'OPTIONS': {
            'context_processors': [
                'django.template.context_processors.debug',
                'django.template.context_processors.request',
                'django.contrib.auth.context_processors.auth',
                'django.contrib.messages.context_processors.messages',
            ],
        },
    },
]

SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db'
SESSION_COOKIE_DOMAIN = 'lodugo.com'
SESSION_COOKIE_SECURE = True
SESSION_SAVE_EVERY_REQUEST = True
SESSION_COOKIE_NAME = 'lodugo'
CSRF_COOKIE_SECURE = True
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')
SECURE_HSTS_SECONDS = 15552000
SECURE_HSTS_INCLUDE_SUBDOMAINS = True
SECURE_HSTS_PRELOAD = True
X_FRAME_OPTIONS = "DENY"
SESSION_COOKIE_AGE=7776000
SESSION_EXPIRE_AT_BROWSER_CLOSE=False



WSGI_APPLICATION = 'rienpaAdmin.wsgi.application'


# Database
# https://docs.djangoproject.com/en/2.2/ref/settings/#databases

DATABASES = {
    'default': {
        'ENGINE': 'django.db.backends.postgresql_psycopg2',
        'NAME': 'DatabaseName',
        'USER': 'USER',
        'PASSWORD': 'PASSWORD',
        'HOST': 'localhost',
        'PORT': '',
    }
}


# Password validation
# https://docs.djangoproject.com/en/2.2/ref/settings/#auth-password-validators

AUTH_PASSWORD_VALIDATORS = [
    {
        'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',
    },
]


# Internationalization
# https://docs.djangoproject.com/en/2.2/topics/i18n/

LANGUAGE_CODE = 'en-us'

TIME_ZONE = 'UTC'

USE_I18N = True

USE_L10N = True

USE_TZ = True


# Static files (CSS, JavaScript, Images)
# https://docs.djangoproject.com/en/2.2/howto/static-files/

STATIC_URL = '/static/'

这是我的观点.py

def app_admin(request: HttpRequest) -> HttpResponse:
    if (request.session.get('logged_in', False)) is not True:
        authentication = "false"
        if request.method == "POST":
            post: QueryDict = request.POST
            firebase_manager = FirebaseManager()
            result = firebase_manager.user_login(post.get('email'), post.get('password'))
            if result:
                messages.success(request, "Ingreso correcto")
                request.session['firebase_session'] = firebase_manager.save_session()
                authentication = "true"
            elif firebase_manager.error_message == "EMAIL_NOT_FOUND":
                messages.error(request, "Error: Esta cuenta no existe")
            elif firebase_manager.error_message == "INVALID_PASSWORD":
                messages.error(request, "Error: Contraseña incorrecta")
            else:
                messages.error(request, "Error: Ocurrio un error inesperado," +
                               " por favor intentalo de nuevo")
        return render(request,
                      "main/login.html",
                      context={"auth": authentication})
    return redirect("main:index")

def load_user(request: HttpRequest) -> HttpResponse:
    if request.method == "POST":
        firebase_manager = FirebaseManager()
        firebase_manager.load_session(request.session['firebase_session'])
        user_data = firebase_manager.user_data()
        request.session['user_data'] = user_data
        request.session['logged_in'] = 'true'
        return HttpResponse("Done")
    raise Http404

def index(request: HttpRequest) -> HttpResponse:
    chart_ready = "true"
    if request.session.get('logged_in', False) is True:
        user = User()
        user.load_data(request.session['user_data'])
        return render(request, "main/admin_main_screen.html", context={"user": user, "chart_ready": chart_ready})
    return redirect("main:appadmin")

def logout(request: HttpRequest) -> HttpResponse:
    if request.method == "POST":
        del request.session['user_data']
        del request.session['logged_in']
        del request.session['firebase_session']
        request.session.clear()
        request.session.flush()
        return HttpResponse("Done")
    raise Http404

其中 app_admin 方法是我的登录表单，index 是我的索引。

我检查了会话中“logged_in”键的输出，输出为：

None #First load of the login form
None #Second load over the POST method
None #Result over the Index page after redirected with AJAX
True #Result from login form after being redirected
None #Result from index, not getting the session
True #Result from login again, redirects again to index
None #Result over index, redirects again to login

如您所见，我的项目是在 Django 2.2 上创建的，但我使用的是 Django 3.0，并且我还使用 posgreSQL 作为数据库。在我的 HTTP 开发服务器上，这可以完美运行

编辑：我测试输出另一个会话密钥，例如，'firebase_session' 密钥，似乎我总是得到正确的值，无论如何，但不是'logged_in'的情况，这是一个很好的线索，但仍然需要弄清楚它发生了什么

EDIT2：我没有使用会话密钥“user_data”进行测试，因为它是一个 JSON 作为 firebase_session 密钥，但是，这个 user_data 有时也为 None，只有 firebase_session 一直在坚持，我真的不知道为什么

【问题讨论】：

is 不是比较值的正确方法。 if not request.session.get('logged_in'): 在您的情况下就足够了。
感谢您的更正，但是，我只是更改了它，并且在第一次尝试服务器重定向我 9 次时，索引页面仍然在会话中显示为 None

标签： python django session ssl web-applications

【解决方案1】：

成功了。仔细阅读有关缓存会话的文档 (here)，您会发现一个警告，它阐明了缓存数据库会话和只是数据库会话不一样，并且它有一个警告说本地缓存会话不是多过程安全，不利于生产，引用如下：

警告

如果您使用 Memcached 缓存后端，则应仅使用基于缓存的会话。本地内存缓存后端保留数据的时间不够长，不是一个好的选择，直接使用文件或数据库会话而不是通过文件或数据库缓存后端发送所有内容会更快。此外，本地内存缓存后端不是多进程安全的，因此可能不是生产环境的好选择。

多亏了这个提示，我将 settings.py 上的会话类型从：

'django.contrib.sessions.backends.cached_db'

到

'django.contrib.sessions.backends.db'

一切都很完美。这是不使用 memcached 后端，这似乎是 Django 使用物理内存的最佳方法，我将在未来尝试，因为它是正确使用 cached_db 后端的正确方法。

【讨论】：