剖析Python的Tornado架構中session支援的實現代碼

tornado 裡面沒有 session？不，當然有~我知道 github 上肯定有人幫我寫好了~ O(∩_∩)O~
於是乎，找到下面這個項目，用 memcached 實現 tornado 的 session。光會用可不行啊，讓我們看看是怎麼寫的~

項目地址：tornado-memcached-sessions

讓我們先從 demo 看起....

app.py 中：
首先可以注意到，這裡定義了一個新的 Application 類，繼承於 tornado.web.Application, 在該類的初始化方法中，設定了應用參數 settings, 之後初始化父類和 session_manager.（這是什嗎？暫時不管它...）

class Application(tornado.web.Application):   def __init__(self):     settings = dict(       # 設定 cookie_secret, 用於 secure_cookie       cookie_secret = "e446976943b4e8442f099fed1f3fea28462d5832f483a0ed9a3d5d3859f==78d",       # 設定 session_secret 用於產生 session_id       session_secret = "3cdcb1f00803b6e78ab50b466a40b9977db396840c28307f428b25e2277f1bcc",       # memcached 地址       memcached_address = ["127.0.0.1:11211"],       # session 到期時間       session_timeout = 60,       template_path = os.path.join(os.path.dirname(__file__), "templates"),       static_path = os.path.join(os.path.dirname(__file__), "static"),       xsrf_cookies = True,       login_url = "/login",     )      handlers = [       (r"/", MainHandler),       (r"/login", LoginHandler)     ]      # 初始化父類 tornado.web.Application     tornado.web.Application.__init__(self, handlers, **settings)     # 初始化該類的 session_manager     self.session_manager = session.SessionManager(settings["session_secret"], settings["memcached_address"], settings["session_timeout"]) 

在下面的 LoginHandler 中我們可以看到 session 的使用：

class LoginHandler(BaseHandler):   def get(self):     self.render("login.html")    def post(self):     # 以字典的索引值對形式存取     self.session["user_name"] = self.get_argument("name")     # 修改完要調用 session 的 save, 否則等於沒有修改哦...     self.session.save()     self.redirect("/") 

從使用來看是不是非常簡潔和清晰？那麼，細心的你是不是發現現在的 handler 沒有繼承於 tornado.web.RequestHandler？帶著強烈的探（zuo）索（si）精神我們開啟了 base.py。天啊，好短....（噢，你想到哪裡去了...）
BaseHandler 的方法只是初始化，並重寫了 get_current_user 的用於使用者登入驗證的方法。

class BaseHandler(tornado.web.RequestHandler):   def __init__(self, *argc, **argkw):     super(BaseHandler, self).__init__(*argc, **argkw)     # 定義 handler 的 session, 注意，根據 HTTP 特點，每次訪問都會初始化一個 Session 執行個體哦，這對於你後面的理解很重要     self.session = session.Session(self.application.session_manager, self)    # 這是幹嘛的？用於驗證登入...請 google 關於 tornado.web.authenticated, 其實就是 tornado 提供的使用者驗證   def get_current_user(self):     return self.session.get("user_name") 

看到這裡，是不是心滿意足？噢，我終於理解了！。。。喂，說好的探（zuo）索（si）精神呢？關鍵在於 session.py 啊！你一臉茫然地回過了頭....

首先看看需要的庫：
pickle 一個用於序列化還原序列化的庫（聽不懂？你直接看成和 json 一樣作用就行了...）
hmac 和 hashlib 用於產生加密字串
uuid 用於產生一個唯一 id
memcache Python 的 memcache 用戶端

這裡面有三個類，SessionData Session 和 SessionManager。先看最簡單的 SessionData。
SessionData 用於以字典的結構儲存 session 資料，繼承於字典，其實只比字典多了兩個成員變數：

# 繼承字典，因為 session 的存取類似於字典 class SessionData(dict):   # 初始化時提供 session id 和 hmac_key   def __init__(self, session_id, hmac_key):     self.session_id = session_id     self.hmac_key = hmac_key 

然後就是真正的 Session 類了。Session 類繼承於 SessionData, 注意，它還是十分像內建類型字典，只是重寫了自己的初始化方法，並定義了 save 介面——用於儲存修改後的 session 資料。

# 繼承 SessionData 類 class Session(SessionData):   # 初始化，綁定 session_manager 和 tornado 的對應 handler   def __init__(self, session_manager, request_handler):     self.session_manager = session_manager     self.request_handler = request_handler      try:       # 正常是擷取該 session 的所有資料，以 SessionData 的形式儲存       current_session = session_manager.get(request_handler)     except InvalidSessionException:       # 如果是第一次訪問會拋出異常，異常的時候是擷取了一個空的 SessionData 對象,裡面沒有資料，但包含新產生的       # session_id 和 hmac_key       current_session = session_manager.get()      # 取出 current_session 中的資料，以索引值對的形式迭代存下     for key, data in current_session.iteritems():       self[key] = data      # 儲存下 session_id     self.session_id = current_session.session_id     # 以及對應的 hmac_key     self.hmac_key = current_session.hmac_key    # 定義 save 方法，用於 session 修改後的儲存，實際調用 session_manager 的 set 方法   def save(self):     self.session_manager.set(self.request_handler, self) 

__init__ 方法比較難理解，基本流程是定義自己的 session_manager 和 handler 處理對象。然後通過 session_manager 獲得已有的 session 資料，用這些資料初始化一個訪問的使用者的 session, 如果使用者是第一次訪問，那麼他拿到的是一個新的 SessionData 對象，因為有可能是新使用者，所以這裡要對 session_id 和 hmac_key（什麼鬼） 進行賦值。
而 save 方法是提供了對修改 session 資料後的儲存介面，實際是調用 session_manager 的 set 方法，具體實現先不考慮。

看到這兩個類，你就應該對 session 的工作有基本理解，可以從使用者訪問的流程來考慮。注意 BaseHandler 這個入口，每個使用者的訪問都是一次 HTTP 要求。當使用者第一次訪問或者上一次的 session 到期了，這時使用者訪問時 tornado 建立了一個 handler 對象（該 handler 一定繼承於 BaseHandler），並且在初始化時建立了一個 session 對象，因為是新訪問，所以目前 session 裡面沒有資料，在之後採用 鍵/值 對的形式讀寫 session（不要忘了 Session 具有字典的所有操作），修改後通過 save 方法儲存 session。如果使用者不是新訪問，那麼也是按照上述的流程，不過 session 初始化時把 之前的資料取出來儲存在該執行個體中。當使用者結束訪問，HTTP 中斷連線，handler 執行個體銷毀，session 執行個體銷毀（注意，是執行個體銷毀，不是資料銷毀）。

下面準備講 SessionManager 是吧，來～一個一個函數看～

首先是初始化，設定密鑰， memcache 地址，session 逾時時間。

# 初始化需要一個用於 session 加密的 secret, memcache 地址, session 的到期時間 def __init__(self, secret, memcached_address, session_timeout):   self.secret = secret   self.memcached_address = memcached_address   self.session_timeout = session_timeout 

接著是 _fetch 方法，以 session_id 為鍵從 memcached 中取出資料，並用 pickle 還原序列化解析資料：

# 該方法用 session_id 從 memcache 中取出資料 def _fetch(self, session_id):   try:     # 串連 memcache 伺服器     mc = memcache.Client(self.memcached_address, debug=0)     # 擷取資料     session_data = raw_data = mc.get(session_id)     if raw_data != None:       # 為了重新重新整理 timeout       mc.replace(session_id, raw_data, self.session_timeout, 0)       # 還原序列化       session_data = pickle.loads(raw_data)     # 如果拿到的資料是字典形式，才進行返回     if type(session_data) == type({}):       return session_data     else:       return {}   except IOError:     return {} 

get 經過安全檢查後，以 SessionData 的形式返回 memcached 的資料（調用了 _fetch）方法。

def get(self, request_handler = None):    # 擷取對應的 session_id 和 hmac_key   if (request_handler == None):     session_id = None     hmac_key = None   else:     # session 的基礎還是靠 cookie     session_id = request_handler.get_secure_cookie("session_id")     hmac_key = request_handler.get_secure_cookie("verification")    # session_id 不存在的時候則產生一個新的 session_id 和 hmac_key   if session_id == None:     session_exists = False     session_id = self._generate_id()     hmac_key = self._generate_hmac(session_id)   else:     session_exists = True    # 檢查 hmac_key   check_hmac = self._generate_hmac(session_id)   # 不通過則拋出異常   if hmac_key != check_hmac:     raise InvalidSessionException()    # 建立 SessionData 對象   session = SessionData(session_id, hmac_key)    if session_exists:     # 通過 _fetch 方法擷取 memcache 中該 session 的所有資料     session_data = self._fetch(session_id)     for key, data in session_data.iteritems():       session[key] = data    return session 

至於 set 方法，是為了更新 memcached 的資料。

# 設定新的 session,需要設定 handler 的 cookie 和 memcache 用戶端 def set(self, request_handler, session):   # 設定瀏覽器的 cookie   request_handler.set_secure_cookie("session_id", session.session_id)   request_handler.set_secure_cookie("verification", session.hmac_key)   # 用 pickle 進行序列化   session_data = pickle.dumps(dict(session.items()), pickle.HIGHEST_PROTOCOL)   # 串連 memcache 伺服器   mc = memcache.Client(self.memcached_address, debug=0)   # 寫入 memcache   mc.set(session.session_id, session_data, self.session_timeout, 0) 

最後的兩個函數，一個是產生 session_id，另一個用 session_id 與祕密金鑰加密後產生一個加密字串，用於驗證。

# 產生 session_id def _generate_id(self):   new_id = hashlib.sha256(self.secret + str(uuid.uuid4()))   return new_id.hexdigest()  # 產生 hmac_key def _generate_hmac(self, session_id):   return hmac.new(session_id, self.secret, hashlib.sha256).hexdigest() 

我們在哪裡初始化了 SessionManager 呢？還記得第一篇裡面的 Application 類嗎？噢...快回去翻翻。

