1.pip install pycket

2.pip install redis

防止xsrf攻击只需在模板form标签加入：

{% module xsrf_form_html() %}

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>登录</title>

</head>

<body>

<form method="post" action="/login?next={{ nextname }}" >

    {% module xsrf_form_html %}

    用户名</br>

    <input type="text" name="name" /><br>

    <input type="text" name="passwd" /><br>

    <input type="submit" value="提交">

</form>

</body>

</html>

session.html

#coding:utf-8

import tornado.httpserver

import tornado.ioloop

import tornado.options

import tornado.web

import time

from  tornado.options import define,options

from data.sqlalchemy08 import User,session

from tornado.web import authenticated

from pycket.session import  SessionMixin

define('port',default=8000,help='run port',type=int)

define('version',default='0.0.1',help='version 0.0.1',type=str)

def auth(fun):

    def wrapper(self,*agrs,**kwargs):

        id=self.get_secure_cookie('ID')

        if id:

            return fun(self,*args,**kwargs)

        else:

            self.redirect('/login')

    return  auth

#设置继承

class BaseHandeler(tornado.web.RequestHandler,SessionMixin):

    def get_current_user(self):

        # current_user=self.get_secure_cookie('ID')

        current_user=self.session.get('user')

        if current_user:

            return current_user

        else:

            return None

class IndexHandler(BaseHandeler):

#用auth装饰，可省去大量重复代码，在需要登录的地方调用就可以

   # @auth

#从写认证方法中的current_user

# def get_current_user(self):

#     current_user = self.get_secure_cookie('ID')

#     if current_user:

#         return current_user

#     else:

#         return None

    #用tornado自带的认证，需在底部app设置加上登录界面login_url，否则报错,为了再次复用，写个父类

    @authenticated

   # @tornado.web.authenticated

    def get(self):

        # id=self.get_secure_cookie('ID')

        # if id:

        #     self.write('登录成功')

        # else:

        #     self.redirect('/login')

        self.write('登录成功')

class LoginHandler(BaseHandeler):

    def get(self):

        #self.render('08login.html', error=None)

        nextname=self.get_argument('next','')

        self.render('11authencated.html',nextname=nextname)

    def post(self):

        nextname = self.get_argument('next', '')

        username = User.by_name(self.get_argument('name', ''))

        passwd = self.get_argument('passwd', '')

        if username and username[0].passwd == passwd:

            #self.set_secure_cookie('ID',username[0].username,max_age=100)

            self.session.set('user',username[0].username)

            # self.write('登录成功-----')

            # time.sleep(3)

            self.redirect(nextname)

        else:

            self.redirect('/login')

if __name__ == "__main__":

    tornado.options.parse_command_line()

    # print(options.port)

    app=tornado.web.Application(

        handlers=[

            (r'/index',IndexHandler),

            (r'/login',LoginHandler),

        ],

        template_path='templates',

        static_path='static',

        login_url='/login',

        debug=True,

        cookie_secret='aaa5555sssss',

     #配置redis设置

        pycket={

            'engine':'redis',

            'storage':{

                'host':'localhost',

                'port':6379,

                'db_sessions':5,

                'db_notifications':2**31,

            },

            'cookies':{

                'expires_days':30,

                'max_age':100

            },

        },

    )

 #固定写法：

    http_server=tornado.httpserver.HTTPServer(app)

    http_server.listen(options.port)

    tornado.ioloop.IOLoop.instance().start()

session.py

session和xsrf的更多相关文章

  1. Python模拟登录实战(三)

    目标:模拟登录知乎 代码如下: #!/usr/bin/env python # -*- coding:utf-8 -*- __author__ = 'ziv·chan' import re impor ...

  2. beego中Controller的GetControllerAndAction方法

    beego中Controller的GetControllerAndAction方法 GetControllerAndAction方法在beego中的源码 // GetControllerAndActi ...

  3. Web安全相关（二）：跨站请求伪造（CSRF/XSRF）

    简介 CSRF(Cross-site request forgery跨站请求伪造,也被称为“One Click Attack”或者Session Riding,通常缩写为CSRF或者XSRF,是一种对 ...

  4. 跨站请求伪造 CSRF / XSRF<一：介绍>

    跨站请求伪造(英语:Cross-site request forgery),也被称为 one-click attack 或者 session riding,通常缩写为 CSRF 或者 XSRF, 是一 ...

  5. ASP.NET Core 防止跨站请求伪造（XSRF/CSRF）攻击

    什么是反伪造攻击? 跨站点请求伪造(也称为XSRF或CSRF,发音为see-surf)是对Web托管应用程序的攻击,因为恶意网站可能会影响客户端浏览器和浏览器信任网站之间的交互.这种攻击是完全有可能的 ...

  6. .NET Core实战项目之CMS 第十四章 开发篇-防止跨站请求伪造（XSRF/CSRF）攻击处理

    通过 ASP.NET Core,开发者可轻松配置和管理其应用的安全性. ASP.NET Core 中包含管理身份验证.授权.数据保护.SSL 强制.应用机密.请求防伪保护及 CORS 管理等等安全方面 ...

  7. ASP.NET MVC CSRF (XSRF) security

    CSRF(Cross-site request forgery)跨站请求伪造,也被称为“One Click Attack”或者Session Riding,通常缩写为CSRF或者XSRF,是一种对网站 ...

  8. XSS/XSRF

    一.XSS 1.1 xss的含义 跨站脚本攻击(Cross Site Scripting),为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写为 ...

  9. ASP.NET Core 防止跨站请求伪造（XSRF/CSRF）攻击 (转载)

    什么是反伪造攻击? 跨站点请求伪造(也称为XSRF或CSRF,发音为see-surf)是对Web托管应用程序的攻击,因为恶意网站可能会影响客户端浏览器和浏览器信任网站之间的交互.这种攻击是完全有可能的 ...

随机推荐

  1. P2158 [SDOI2008] （欧拉函数

    题目描述 作为体育委员,C君负责这次运动会仪仗队的训练.仪仗队是由学生组成的N * N的方阵,为了保证队伍在行进中整齐划一,C君会跟在仪仗队的左后方,根据其视线所及的学生人数来判断队伍是否整齐(如下图 ...

  2. [Bzoj2246]迷宫探险（概率+DP）

    Description 题目链接 Solution 用三进制表示陷阱状态,1表示有害,2表示无害,0表示不知道 用\(f[S][i]\)表示状态为S时陷阱i有害的概率,这个可以预处理出 \(d[S][ ...

  3. 点击EditText可编辑，点击其他地方不可编辑

    我是在Fragment中实现的,在网上查了,有的说要回调Activity的onTouch事件,通过实验直接在Fragment中即可.如下: 我的EditText在ScrollView,因为Scroll ...

  4. Android 浮动按钮+上滑隐藏按钮+下滑显示按钮

    1.效果演示 1.1.关注这个红色的浮动按钮 . 可以看到,上滑的时候浮动按钮消失,因为用户迫切想知道下面的东西,而不是回到顶部. 当下滑的时候,用户想回到原来的位置,就可以点击浮动按钮,快速回到顶部 ...

  5. border与透明边框

    1.背景:怎样增加复选框响应域的大小?就是,复选框点击区域增大一些 需求复选框的视觉区域大小(不含边框)是16px*16px 现在要把可点击区域增加到20px*20px 解决方案: box-shado ...

  6. 使用wsimport命令生成webService客户端代码实例

    wsimport简介 在JDK的bin文件夹中,有一个wsimport.exe工具,可依据wsdl文件生成相应的类文件,将生存在本地这些类文件拷贝到需要使用的项目中,就可以像调用本地的类一样调用web ...

  7. 为 DirectAccess 设计 DNS 基础结构

    TechNet 库Windows ServerWindows Server 2008 R2 und Windows Server 2008浏览 Windows Server 技术NetworkingD ...

  8. linux 广播

    广播是一台主机向局域网内的所有主机发送数据.这时,同一网段的所有主机都能接收到数据.发送广播包的步骤大致如下: (1)确定一个发送广播的接口,如eth0 (2)确定广播的地址,通过ioctl函数,请求 ...

  9. +(void)load; +(void)initialize;有什么用处？

    总得来说: 1.+load方法是在main函数之前调用的: 2.遵从先父类后子类,先本类后列类别的顺序调用: 3.类,父类与分类之间的调用是互不影响的.子类中不需要调用super方法,也不会调用父类的 ...

  10. Windows 2003 IIS服务器配置环境（放.net开发的网站）

    配置IIS 安装.Net Framework3.5 安装SQL数据库 IIS的配置与安装步骤: 开始->管理工具->管理您的服务器->添加角色->(配置您的服务器向导)下一步- ...