Django session 身份验证和禁用的 cookie

Question

django 中的 session 身份验证与 cookie 有什么关系吗？如果用户在他的浏览器上禁用了 cookie，它会起作用吗？如果用户的浏览器禁用了 cookie，django 是否应该警告用户？

Answer 1

不，身份验证是基于 cookie 的 - session ID 储存在 cookies 中!

The Django sessions framework is entirely, and solely, cookie-based. It does not fall back to putting session IDs in URLs as a last resort, as PHP does. This is an intentional design decision. Not only does that behavior make URLs ugly, it makes your site vulnerable to session-ID theft via the “Referer” header.

有一些解决方法，例如您可以将 session ID 放在查询字符串中。查看这篇文章: http://www.stereoplex.com/blog/cookieless-django-sessions-and-authentication-with

作者警告: 除非您了解潜在的安全后果，否则请勿执行我将要描述的操作

从 request.GET 获取 session ID 的中间件并将其放入 request.COOKIES (FakeSessionCookie 中间件必须放在 settings.py 中的 SessionMiddleware 之前):

from django.conf import settings

class FakeSessionCookieMiddleware(object):

    def process_request(self, request):
        if not request.COOKIES.has_key(settings.SESSION_COOKIE_NAME) \
            and request.GET.has_key(settings.SESSION_COOKIE_NAME):
            request.COOKIES[settings.SESSION_COOKIE_NAME] = \
                request.GET[settings.SESSION_COOKIE_NAME]

身份验证后，您应该在对服务器的所有请求中包含 session ID 作为 url (GET) 参数。