flask - 为什么 Flask-Security 会为每个请求产生一个新的 KVSession 记录？

Question

我正在尝试使用 Flask-KVSession作为 Flask 网站的替代 session 实现。我创建了一个测试网站(请参阅下面的 代码 1 )。当我运行它时，我可以使用浏览器通过在 Web 浏览器中的各种资源之间导航来将值存储到 session 中。这工作正常。另外，当我查看 sessions 时在生成的 SQLite 数据库中的表中，我看到一条记录一直用于存储此 session 。

然后我尝试添加 Flask-Security对此(请参阅下面的 代码 2 )。运行此站点后(确保首先删除现有的 test.db sqlite 文件)，我将进入登录提示并登录。然后我继续做同样的事情，在资源之间来回跳转。我得到相同的结果。

问题是当我查看 sqlitebrowser 时 sessions表，有8条记录。结果是为每个发出的请求创建了一个新的 session 记录。

为什么在使用 Flask-Security 时会为每个请求创建一个新的 session 记录？为什么现有 session 不像以前那样更新？

代码 1(没有 Flask-Security 的 KVSession)

import os
from flask import Flask, session

app = Flask(__name__)
app.secret_key = os.urandom(64)
#############
# SQLAlchemy
#############
from flask.ext.sqlalchemy import SQLAlchemy

db = SQLAlchemy(app)
DB_DIR = os.path.dirname(os.path.abspath(__file__))
DB_URI = 'sqlite:////{0}/test.db'.format(DB_DIR)
app.config['SQLALCHEMY_DATABASE_URI'] = DB_URI

@app.before_first_request
def create_user():
    db.create_all()

############
# KVSession
############
from simplekv.db.sql import SQLAlchemyStore
from flask.ext.kvsession import KVSessionExtension
store = SQLAlchemyStore(db.engine, db.metadata, 'sessions')
kvsession = KVSessionExtension(store, app)

@app.route('/a')
def a():
    session['last'] = 'b'
    return 'Thank you for visiting A!'

@app.route('/b')
def b():
    session['last'] = 'b'
    return 'Thank you for visiting B!'

@app.route('/c')
def c():
    return 'You last visited "{0}"'.format(session['last'])


app.run(debug=True)

代码 2(具有 Flask 安全性的 KVSession)

import os
from flask import Flask, session

app = Flask(__name__)
app.secret_key = os.urandom(64)
#############
# SQLAlchemy
#############
from flask.ext.sqlalchemy import SQLAlchemy

db = SQLAlchemy(app)
DB_DIR = os.path.dirname(os.path.abspath(__file__))
DB_URI = 'sqlite:////{0}/test.db'.format(DB_DIR)
app.config['SQLALCHEMY_DATABASE_URI'] = DB_URI

###########
# Security
###########
# This import needs to happen after SQLAlchemy db is created above
from flask.ext.security import (
    Security, SQLAlchemyUserDatastore, current_user,
    UserMixin, RoleMixin, login_required
)

# Define models
roles_users = db.Table('roles_users',
        db.Column('user_id', db.Integer(), db.ForeignKey('user.id')),
        db.Column('role_id', db.Integer(), db.ForeignKey('role.id')))

class Role(db.Model, RoleMixin):
    id = db.Column(db.Integer(), primary_key=True)
    name = db.Column(db.String(80), unique=True)
    description = db.Column(db.String(255))

class User(db.Model, UserMixin):
    id = db.Column(db.Integer, primary_key=True)
    email = db.Column(db.String(255), unique=True)
    password = db.Column(db.String(255))
    active = db.Column(db.Boolean())
    confirmed_at = db.Column(db.DateTime())
    roles = db.relationship('Role', secondary=roles_users,
                            backref=db.backref('users', lazy='dynamic'))

user_datastore = SQLAlchemyUserDatastore(db, User, Role)
security = Security(app, user_datastore)

@app.before_first_request
def create_user():
    db.create_all()
    user_datastore.create_user(email='test@example.com', password='password')
    db.session.commit()


############
# KVSession
############
from simplekv.db.sql import SQLAlchemyStore
from flask.ext.kvsession import KVSessionExtension
store = SQLAlchemyStore(db.engine, db.metadata, 'sessions')
kvsession = KVSessionExtension(store, app)

@app.route('/a')
@login_required
def a():
    session['last'] = 'b'
    return 'Thank you for visiting A!'

@app.route('/b')
@login_required
def b():
    session['last'] = 'b'
    return 'Thank you for visiting B!'

@app.route('/c')
@login_required
def c():
    return 'You last visited "{0}"'.format(session['last'])


app.run(debug=True)

版本信息

Python 2.7.3
Flask==0.9
Flask==0.9
Flask-KVSession==0.3.2
Flask-Login==0.1.3
Flask-Mail==0.8.2
Flask-Principal==0.3.5
Flask-SQLAlchemy==0.16
Flask-Security==1.6.3
SQLAlchemy==0.8.1

Answer 1

原来这与 known problem 有关与 flask-login (flask-security 使用的)当flask-login 与像KVSession 这样的 session 存储库一起使用时。

基本上，无论何时创建或修改 session 中的数据，KVSession 都需要使用新的 session 信息更新数据库。在上面的示例中，这正确地发生了:我第一次点击页面时， session 被创建。之后，更新现有 session 。

但是，在后台浏览器会向我的 Web 服务器发送一个无 cookie 的请求，以寻找我的网站图标。因此，flask 正在处理对 /favicon.ico 的请求。 .此请求(或任何其他 404 请求)仍由flask 处理。这意味着flask-login 将查看请求并尝试发挥其魔力。

碰巧的是，flask-login 没有尝试将任何内容放入 session 中，但就 KVSession 而言，它看起来仍然像 session 已被修改。因为看起来 session 被修改了，所以 KVSession 更新了数据库。以下是来自flask-login的代码:

def _update_remember_cookie(self, response):
    operation = session.pop("remember", None)
    ...

_update_remember_cookie方法在请求生命周期中被调用。尽管 session.pop 不会在 session 没有“remember”键(在这种情况下它没有)时更改 session ，但 KVSession 仍然会看到弹出并假设 session 已更改。

flask-login 的问题提供了简单的错误修复，但尚未推送到flask-login 中。看来维护者正在寻找一个完整的重写，并将在那里实现它。