將 flask 中的 session 存儲到 SQLite 數據庫中
使用 flask 構建服務器后端時，常需要在瀏覽器端存儲 cookie 用於識別不同用戶，根據不同的 cookie 判斷出當前請求訪問的用戶。而在服務器端 flask 提供了易用的 session 代理，通過 from flask import session， 可以引入 session 並將其作為特定用戶信息的字典來用。
要使用 session 代理，首先要給 flask 實例設置 secret_key，然后就可以在請求上下文中使用 session（如在特定的路由中）：
from flask import Flask, session, render_template
app = Flask( __name__ )
app.secret_key = hashlib.sha1( 'abcdefg'.encode() ).hexdigest()
# app.config[ 'SECRET_KEY' ] = hashlib.sha1( 'abcdefg'.encode() ).hexdigest() # same with previous one statement
@app.route( '/', methods = [ 'GET' ])
def index():
session[ 'user' ] = 'test'
return render_template( 'index.html' )
由於 flask 默認的 session 實現方式是 SecureCookieSessionInterface，它將 session 中的數據以加密方式存儲在客戶端的 cookie 中，因此在使用 session 前，需要首先設置 secret_key，這樣才能避免客戶端中的 cookie 泄漏信息。
將 session 信息存儲在數據庫中
盡管 flask 默認的 session 數據是加密之后存儲在客戶端的 cookie 中，但如果 session 要存儲大量敏感的信息，還是將其存儲在服務端較好。flask 已經提供了 SessionInterface 接口，要自己實現 session 的存儲方式，需要實現該接口並將 flask 實例 app 的 session_interface 指向其實現類的實例。此外還要實現自定義的 Session 類，在自定義的 SessionInterface 實現類中使用自定義的 Session 類。
自定義 Session 類
自定義的 Session 類實現起來很簡單，因為它的工作方式與 dict 很類似，可以直接將其繼承 dict，這里使用 werkzeug 中提供的 CallbackDict，另外還需要繼承的父類是 SessionMixin，以便在 flask 中使用該 Session。由於要使用的是 sqlite 存儲方式，這里我將類命名為 DbSession：
# file: dbsessions.py
from flask.sessions import SessionMixin, SessionInterface
from werkzeug import CallbackDict
class DbSession( CallbackDict, SessionMixin ):
def __init__( self, initial = None, sid = None, new = False ):
def on_update( self ):
self.modified = True
CallbackDict.__init__( self, initial, on_update )
self.sid = sid
self.new = new
self.modified = False
在 Server-side sessions with SQLite 這篇示例中，由於實現的其實現的 SqliteSession 繼承的是 MutableMapping，並且沒有使用 flask-sqlalchemy，因此需要有
__getitem__、__setitem__等實現數據庫的操作，並且需要定義查詢的 SQL 語句。而我們使用 flask-sqlalchemy 處理底層的數據庫事務，因此 Session 實現類較為簡單。
定義 Session 數據模型
為了將 session 數據存儲在 sqlite 數據庫中，我們還需要定義它的 Model，flask-sqlalchemy 已經為我們處理好了底層繁瑣的代碼，在應用中直接使用 flask-sqlalchemy 提供的數據庫實例即可。
使用 flask-sqlalchemy：
# file: myglobal.py
from flask import Flask
from flask_sqlalchemy import SQLAlchemy
app = Flask( __name__ )
app.config['SQLALCHEMY_DATABASE_URI'] = 'sqlite:///database.db'
app.config['SQLALCHEMY_TRACK_MODIFICATIONS'] = True
db = SQLAlchemy( app )
# file: dbsessions.py
from .myglobal import db
from datetime import datetime, timedelta
class Sessions( db.Model ):
__tablename__ = 'sessions'
sid = db.Column( db.String( 255 ), primary_key = True )
expired = db.Column( db.DateTime )
session = db.Column( db.Text ) # it refers session content
def __init__( self, **kwargs ):
super( Sessions, self ).__init__( **kwargs )
if 'sid' in kwargs:
self.sid = kwargs[ 'sid' ]
if 'expired' in kwargs:
self.expired = kwargs[ 'expired' ]
if 'session' in kwargs:
self.session = kwargs[ 'session' ]
def __repr__( self ):
return '<Session %s>' % self.session
這里的 sid 字段為用於識別用戶身份的標識，expired 字段用於設定過期時間，session 字段是實際存儲的 session 內容，由於 session 的數據結構與 dict 一樣，因此可以考慮使用 json 格式序列化到數據庫中。
順便提一下，如果在程序中使用 session，並要以 json 格式序列化 session，那么 session 中最好不要用到 Datetime 類，否則在運行過程中會提示 Datetime 無法被 JSON 序列化 之類的錯誤，使用時間戳替代即可：
# in flask app context
session[ 'login' ] = datetime.now() # 當用 JSON 格式序列化 session 時，會提示 Datetime 對象無法序列化
session[ 'login' ] = datetime.now().timestamp() # 正常
實現 SessionInterface 接口
接下來要實現 flask 中提供的 SessionInterface 接口，較前面兩部分內容相對復雜，但是其實原理也很簡單。這里需要在實現類中完成 sid 的分配和客戶端 cookie 的讀寫，sid 分配需要盡可能隨機，可以直接使用 python 中的 uuid 模塊。序列化 session 時使用 JSON 格式，因此需要引入 json 模塊（也可以使用 pickle 模塊進行序列化）。
SessionInterface 的兩個主要接口方法是 open_session 和 save_session：
# file: dbsessions.py
from uuid import uuid4
import json
class DatabaseSessionInterface( SessionInterface ):
session_class = DbSession
serializer = json # or pickle
def __init__( self, db = db, prefix = 'session:' ):
self.db = db
self.prefix = prefix
def generate_sid( self ):
return str( uuid4() )
def get_expiration_time( self, app, session = None ):
"""
可以直接使用父類的默認超時時間方法，為了自定義默認超時時間進行重寫
"""
if session.permanent:
return datetime.now() + app.permanent_session_lifetime
return datetime.now() + timedelta( minutes = 10 )
def open_session( self, app, request ):
sid = request.cookies.get( app.session_cookie_name ) # 嘗試從請求中獲取存儲的 cookie（與 session 相關的 cookie）
if not sid:
# 沒有從 cookie 中找到相關 sid，說明客戶端是第一次訪問，需要構造 sid
sid = self.generate_sid()
# create new Session Model instance
dbrecord = Sessions( sid = sid )
sc = self.session_class( sid = sid, new = True )
return sc
# if client have a session_cookie, take relative one from database
dbrecord = Sessions.query.filter_by( sid = sid ).first()
if dbrecord is None:
return self.session_class( sid = sid ) # in case of wrong sid in session_cookie
else:
return self.session_class( self.serializer.loads( dbrecord.session ), sid = sid )
def save_session( self, app, session, response ):
domain = self.get_cookie_domain( app )
dbrecord = Sessions.query.filter_by( sid = session.sid ).first()
if not session:
# 內容為空並且被修改過，說明 session 已經被刪除
if session.modified:
db.session.delete( dbrecord )
db.session.commit()
response.delete_cookie( app.session_cookie_name, domain = domain )
return
if dbrecord is None:
dbrecord = Sessions( sid = session.sid )
db.session.add( dbrecord )
# update database record
dbrecord.session = self.serializer.dumps( session )
sexp = self.get_expiration_time( app, session )
dbrecord.expired = sexp
db.session.commit()
response.set_cookie( app.session_cookie_name, session.sid, expires = sexp, httponly = True, domain = domain )
實現了 open_session 和 save_session 方法的實現類就可以在 flask 應用中使用了：
app.session_interface = DatabaseSessionInterface()
這里有必要說一下處理 session 的流程：
-
若客戶端第一次請求服務器（服務器使用了 session，但服務器上沒有相應的 session），首先調用
open_session方法，返回一個新創建的 DbSession 對象。在open_session方法中最終一定需要返回一個字典結構的對象，我們這里也就是 DbSession 實例。 -
接下來 flask 會將
open_session方法中返回的 DbSession 對象的 sid 寫入到客戶端的 cookie 響應中，並將該對象作為 session 參數調用save_session方法。根據 session 中的內容（當 session 中的內容為空時，not session 為 True）和屬性執行刪除或更新 session 的操作 -
客戶端存儲了有 sid 的 cookie 后，后續請求到來時，在
open_session方法將會返回在數據庫中存儲的 session 條目。這樣就達到了識別用戶的目的。
總結
總的來說實現自定義的 session 存儲方式並不困難，在參考了 stackoverflow 上相關問題的解答和一些示例后再根據自己的需求進行實現和改進。其實 Server-side sessions with SQLite 這篇示例已經很接近於我的需求了，但是我的具體代碼中和該示例有所區別。
比如，示例中為每個 session 創建一個單獨的 sqlite 數據庫文件，而我的代碼中將 session 作為表的一行。另外，示例中會話結束時就會刪除對應的數據庫文件，而我修改了默認的超時時間方法，因此需要在會話結束后並超時時刪除對應的數據庫條目，但是目前的代碼中並沒有相應的實現。不過基本上來說已經達到了最初的目的。
envrionments or requirements
- python3.6
- flask
- flask-sqlalchemy