Как удалить сессию flask

Сессии/сеансы sessions модуля flask в Python

Передача информации от одного запроса к другому во Flask

Если установлен атрибут экземпляра приложения Flask.secret_key или настроен параметр конфигурации SECRET_KEY , то можно использовать сессии/сеансы в приложениях Flask. Сессия/сеанс Flask позволяет запоминать информацию от одного запроса к другому. Фреймворк Flask делает это с помощью подписанного файла cookie . Пользователь может просматривать содержимое сессии/сеанса, но не может изменять его, если не знает секретный ключ, поэтому обязательно установите для него что-то сложное. Один из способов создать такой ключ, это воспользоваться следующей командой модуля os :

>>> import os >>> os.urandom(30).hex() 

Для доступа к текущей сессии/сеансу можно использовать прокси объект сессии/сеанса flask.session , который дает доступ к объекту flask.Session :

Синтаксис:

>>> import flask >>> flask.session #

Параметры:

Возвращаемое значение:

• словароподобный объект с переменными сессии. Т.е. объект сессии ведет себя подобно словарю dict и имеет дополнительные свойства и методы.

Описание:

Прокси объект session представляет собой объект сессии/сеанса, который работает почти так же, как обычный словарь Python, с той лишь разницей, что отслеживает изменения. Прокси объект session (содержащий словарь с переменными сессии) доступен как в контексте приложения, так и в контексте шаблонах.

Интересны следующие атрибуты и методы объекта Session :

session.new :

Атрибут сессии/сеанса session.new имеет значение True , если сессия — новая, в противном случае значение False .

session.modified :

Атрибут сессии/сеанса session.modified отвечает за передачу измененных переменных сессии от запроса к запросу. Будет иметь значение True , если объект сессии Session обнаружил изменение переменной автоматически.

Объект Session , автоматически обнаруживает модификацию переменных, только если они имеют значения НЕизменяемых типов Python.

Важная особенность! Модификация изменяемых объектов Python (таких как списки и т.д.) автоматически не обнаруживается объектом Session и следовательно измененное значение не будет передаваться от запроса к запросу. В этой ситуации, необходимо явно установить значение True для атрибута Session.modified .

Пример работы с изменяемыми типами в сессии:

Предположим, что для каких-то целей, в сессии приложения Flask, необходима переменная session[‘data’] , которая имеет тип list .

# при первом запросе пользователя # устанавливаем пустой список, как # одну из переменных сессии session['data'] = [] # при втором запросе к сайту, делаем # следующее изменение session['data'].append(8) 

Так вот, это изменение списка автоматически не обнаружиться Session (т.к. список — это изменяемый объект) и при следующим запросе пользователя к сайту, переменная session[‘data’] не поменяется и останется пустым списком [] ! Для того, что бы такие изменения передавались от запроса к запросу необходимо вручную устанавливать session.modified=True .

Это можно исправить следующим образом:

session['data'].append(8) # модификацию изменяемых объектов Python # необходимо отслеживать самостоятельно if not session.modified: session.modified = True 

Session.permanent :

Атрибут сессии/сеанса Session.permanent отвечает за время жизни сессии/сеанса. Если установлено значение True , то сессия/сеанс существует в течение app.permanent_session_lifetime секунд. По умолчанию 31 день. Если установлено значение False (по умолчанию), то сессия/сеанс будет удалена, когда пользователь закроет браузер.

Примечание: время жизни устанавливается для объекта сессии/сеанса, а не для конкретного ключа сессии/сеанса.

Session.get(key, default=None) :

Метод Session.get() возвращает значение для ключа сессии/сеанса key (если он есть), иначе возвращается значение по умолчанию default .

Session.pop(key, default) :

Метод Session.pop() удаляет указанный ключ сессии/сеанса key и возвращает соответствующее значение. Если ключ key не найден, то возвращается значение по умолчанию default , если оно задано. В противном случае вызывается исключение KeyError .

def logout(): # удаляем имя пользователя из сеанса, если оно есть session.pop('username', None) return redirect(url_for('index')) 

Session.clear() :

Метод Session.clear() удаляет все установленные ключи из словароподобного объекта сессии/сеанса. Другими словами — очищает сессию пользователя.

def logout(): # удаляем сеанс session.clear() return redirect(url_for('index')) 

Примеры работы с сессиями в приложении Flask.

Чтобы использовать сессии/сеансы, необходимо установить секретный ключ, при помощи которого будут подписываться сессионные cookie .

from flask import session # установим секретный ключ для подписи. Держите это в секрете! app.secret_key = b'_5#y2L"F4Q8z\n\xec]/' @app.route('/') def index(): if 'username' in session: return f'Вошел как session["username"]>' return 'Вы не авторизованы' @app.route('/login', methods=['GET', 'POST']) def login(): if request.method == 'POST': # устанавливаем сессию для пользователя session['username'] = request.form['username'] return redirect(url_for('index')) return '''   
  ''' @app.route('/logout') def logout(): # удаляем имя пользователя из сеанса, если оно есть session.pop('username', None) return redirect(url_for('index')) 

• КРАТКИЙ ОБЗОР МАТЕРИАЛА.
• Пример структуры приложения Flask как пакета Python
• Модульные приложения на схемах blueprint во Flask Python
• Фабрика веб-приложений модуля Flask
• Представления в веб-приложении на Flask Python
• Правила составления URL-маршрутов во Flask Python
• Использование шаблонизатора Jinja2 в приложении Flask Python
• Пользовательские страницы HTTP-ошибок на Flask Python
• Выполнение кода до или после запроса во Flask Python
• Загрузка файлов на сервер во Flask Python
• Всплывающие сообщения в приложении на Flask Python
• Извлечение данных из запроса во Flask Python
• Хранение и загрузка конфигураций Flask
• Параметры/ключи конфигурации, используемые во Flask
• Папки экземпляров приложений на Flask
• Контекст веб-приложения на Flask
• Контекст запроса приложения на Flask
• Ведение журнала логов в приложении Flask Python
• Собственные декораторы в приложении Flask Python
• Класс Config() модуля flask
• Функция redirect модуля flask
• Функция url_for() модуля flask
• Прокси-объект current_app() модуля flask
• Функция abort() модуля flask
• Отладочные сигналы приложения Flask
• Работа с cookie в приложении на Flask Python
• Безопасность веб-приложения на Flask
• Асинхронность в веб-приложении на Flask
• Использование URL-процессора в приложениях на Flask Python
• Диспетчеризация приложений на Flask
• Функция make_response модуля flask
• Доступность контекстов запроса/приложения во Flask Python
• Декоратор @route() и метод add_url_rule() приложения Flask Python
• Функция send_file() модуля flask
• Функция send_from_directory() модуля flask
• Как обслуживать статические файлы в Flask Python
• Функция render_template() модуля flask
• Класс Markup() модуля flask
• Отложенная загрузка представлений в приложении Flask Python
• Сессии/сеансы sessions модуля flask
• Глобальный объект flask.g в приложении Flask Python
• Класс Request() модуля flask
• Класс Response() модуля flask
• Класс Flask() модуля flask
• Тестирование приложений на Flask
• Использование SQLite 3 в приложении Flask Python
• Генерация своей капчи на сайте Flask
• Использование модуля WTForms в приложении Flask Python
• Расширение Flask-Caching для приложения Flask
• Расширение Flask-Assets, управление статикой приложения
• Расширение Flask-WTF для приложения Flask
• Расширение Flask-SQLAlchemy для приложения Flask
• Расширение Flask-Paginate для приложения Flask
• Расширение Flask-Mail для приложения Flask
• Расширение Flask-APScheduler
• Связка Nginx + Gunicorn + Gevent + Flask Python
• Как передать переменную NGINX во Flask environ
• Защита приложения/сайта от DDoS атак

Используем сессии для авторизации

Часто в веб-сервисах возникает необходимость идентифицировать текущего пользователя (т.е., что текущий пользователь — Вася Пупкин, модератор) или получить какую-либо информацию про него (текущий пользователь предпочитает зеленый цвет фона, заходил на сайт 10 раз).

Обычно для этого испольуются cookie файлы. О них мы сегодня и поговорим.

Cookie файлы — это небольшие текстые файлы, которые сайт может хранить в браузере пользователя. Браузер будет присылать их серверу вместе с каждым запросом. В ответе можно попросить браузер что-то удалить или добавить.

С точки зрения программиста бекенда, можно считать, что cookie файлы представляют из себя словарь. Про работу с «чистыми» куками можно почитать здесь.

Но с cookie файлами есть проблема — пользователь может добавлять, изменять, читать и удалять их по своему усмотрению. А значит мы не можем им доверять. Решение этой проблемы — использование сессий!

Сессии — безопасная альтернатива cookie

Сессии — это более безопасные способ хранить данные о пользователе, причем в разных языках этот механизм реализован по разному. Например, сессии в PHP — это когда мы храним данные на сервере, а у пользователя храним только ключ доступа к этим данным.

Во фласке все данные по-прежнему храняться в cookie, но подписываются секретным ключом. Благодаря этому пользователь может посмотреть или удалить данные, но изменить по своему усмотрению уже не может.

С точки зрения программисти, сессия — это словарь, который сохраняет свои значения между запросами пользователя (и в разных функциях).

1. В начале программы нам нужно задать ключ для подписи cookie файлов и импортировать объект session из библиотеки flask .

from flask import Flask, session app = Flask(__name__) # Details on the Secret Key: https://flask.palletsprojects.com/en/1.1.x/config/#SECRET_KEY app.secret_key = 'BAD_SECRET_KEY'

1. Когда мы хотим что-то записать о пользователе, мы просто кладем это в словарь session .

session['email'] = "lupa@glavbuh.ru"

1. А когда хотим получить это обратно — просто берем из словаря session.

email = session.get('email')

P.S. Можно написать и session[’email’] , но если почты там нет, вылетит ошибка. А метод get просто вернет None и программа продолжит свою работу.

Цветосайт

Ниже пример сервиса, в котором пользователь может выбирать цвет фона для страницы. Цвет мы запонимаем в словаре session .

from flask import Flask, render_template, session, redirect app = Flask(__name__) app.secret_key = 'dfdfdf' @app.route('/') def index(): if 'color' in session: color = session['color'] else: color = "#FFF" return render_template('index.html', color=color) @app.route('/red') def red(): session['color'] = '#F00' return redirect('/') @app.route('/blue') def blue(): session['color'] = '#00F' return redirect('/') @app.route('/green') def green(): session['color'] = '#0F0' return redirect('/') @app.route('/default') def green(): del session['color'] return redirect('/') app.run(debug=True)

index.html

      >;"> 
Цветосайт!
 Хочу красный 
Хочу синий 
Хочу зеленый 
Хочу как обычно 

Авторизация

Для авторизации пользователей в фласке (да и любых сервисах в интернете) используются сессии. Идея в том, что после успешной авторизации (ввода правильного логина и пароля) пользователь получает временный токен, который храниться в cookie файле (в браузере клиента), а на стороне сервера к этому токену привязывается произвольная информация (например, имя пользователя).

Пример использования сессий можно увидеть в коде ниже. В нем при заходе пользователя на страницу входа, мы добавляем в сессию ключ auth , и, если он есть, на главной странице показывается «секретный» текст.

from flask import Flask, session, redirect # just serve all the static files under root app = Flask(__name__) app.secret_key = 'jrfasefasefgj' @app.route('/') def index(): if session.get('auth', False) == True: return "
Это секретный раздел!
Выйти!
" else: return "
Вам сюда нельзя!
Но можно войти. 
" @app.route('/login') def login(): session['auth'] = True return redirect('/') @app.route('/logout') def logout(): session.clear() return redirect('/') (debug=True, port='3000', host='0.0.0.0') 

Быстрый старт¶

Рвётесь в бой? Эта страница даёт хорошее введение в Flask. Предполагается, что вы уже имеете установленный Flask. Если это не так, обратитесь к секции Инсталляция .

Минимальное приложение¶

Минимальное приложение Flask выглядит примерно так:

from flask import Flask app = Flask(__name__) @app.route('/') def hello_world(): return 'Hello World!' if __name__ == '__main__': app.run() 

Просто сохраните его под именем наподобие hello.py и запустите с помощью вашего интерпретатора Python. Только, пожалуйста, не давайте приложению имя flask.py , так как это вызовет конфликт с самим Flask.

$ python hello.py * Running on http://127.0.0.1:5000/

Проследовав по ссылке http://127.0.0.1:5000/ вы увидите ваше приветствие миру.

Итак, что же делает этот код?

1. Сначала мы импортировали класс Flask . Экземпляр этого класса и будет вашим WSGI-приложением.
2. Далее мы создаём экземпляр этого класса. Первый аргумент — это имя модуля или пакета приложения. Если вы используете единственный модуль (как в этом примере), вам следует использовать __name__ , потому что в зависимости от того, запущен ли код как приложение, или был импортирован как модуль, это имя будет разным ( ‘__main__’ или актуальное имя импортированного модуля соответственно). Это нужно, чтобы Flask знал, где искать шаблоны, статические файлы и прочее. Для дополнительной информации, смотрите документацию Flask .
3. Далее, мы используем декоратор route() , чтобы сказать Flask, какой из URL должен запускать нашу функцию.
4. Функция, которой дано имя, используемое также для генерации URL-адресов для этой конкретной функции, возвращает сообщение, которое мы хотим отобразить в браузере пользователя.
5. Наконец, для запуска локального сервера с нашим приложением, мы используем функцию run() . Благодаря конструкции if __name__ == ‘__main__’ можно быть уверенным, что сервер запустится только при непосредственном вызове скрипта из интерпретатора Python, а не при его импортировании в качестве модуля.

Для остановки сервера, нажмите Ctrl+C.

Публично доступный сервер

Если вы запустите сервер, вы заметите, что он доступен только с вашего собственного компьютера, а не с какого-либо другого в сети. Так сделано по умолчанию, потому что в режиме отладки пользователь приложения может выполнить код на Python на вашем компьютере.

Если у вас отключена опция debug или вы доверяете пользователям в сети, вы можете сделать сервер публично доступным, просто изменив вызов метода run() таким вот образом:

app.run(host='0.0.0.0') 

Это укажет вашей операционной системе, чтобы она слушала сеть со всех публичных IP-адресов.

Режим отладки¶

Метод run() чудесно подходит для запуска локального сервера для разработки, но вы будете должны перезапускать его всякий раз при изменении вашего кода. Это не очень здорово, и Flask здесь может облегчить жизнь. Если вы включаете поддержку отладки, сервер перезагрузит сам себя при изменении кода, кроме того, если что-то пойдёт не так, это обеспечит вас полезным отладчиком.

Существует два способа включить отладку. Или установите флаг в объекте приложения:

app.debug = True app.run() 

Или передайте его как параметр при запуске:

app.run(debug=True) 

Оба метода вызовут одинаковый эффект.

Несмотря на то, что интерактивный отладчик не работает в многопоточных окружениях (что делает его практически неспособным к использованию на реальных рабочих серверах), тем не менее, он позволяет выполнение произвольного кода. Это делает его главной угрозой безопасности, и поэтому он никогда не должен использоваться на реальных «боевых» серверах.

Снимок экрана с отладчиком в действии:

Предполагаете использовать другой отладчик? Тогда смотрите Работа с отладчиками .

Маршрутизация¶

Современные веб-приложения используют «красивые» URL. Это помогает людям запомнить эти URL, это особенно удобно для приложений, используемых с мобильных устройств с более медленным сетевым соединением. Если пользователь может перейти сразу на желаемую страницу, без предварительного посещения начальной страницы, он с большей вероятностью вернётся на эту страницу и в следующий раз.

Как вы увидели ранее, декоратор route() используется для привязки функции к URL. Вот простейшие примеры:

@app.route('/') def index(): return 'Index Page' @app.route('/hello') def hello(): return 'Hello World' 

Но это еще не все! Вы можете сделать определенные части URL динамически меняющимися и задействовать в функции несколько правил.

Правила для переменной части¶

Чтобы добавлять к адресу URL переменные части, можно эти особые части выделить как . Затем подобные части передаются в вашу функцию в качестве аргумента — в виде ключевого слова. Также может быть использован конвертер — с помощью задания правила следующего вида . Вот несколько интересных примеров

@app.route('/user/') def show_user_profile(username): # показать профиль данного пользователя return 'User %s' % username @app.route('/post/') def show_post(post_id): # вывести сообщение с данным id, id - целое число return 'Post %d' % post_id 

Существуют следующие конвертеры:

int	принимаются целочисленные значения
float	как и int , только значения с плавающей точкой
path	подобно поведению по умолчанию, но допускаются слэши

Уникальные URL / Перенаправления

Правила для URL, работающие в Flask, основаны на модуле маршрутизации Werkzeug. Этот модуль реализован в соответствие с идеей обеспечения красивых и уникальных URL-адресов на основе исторически попавшего в обиход — из поведения Apache и более ранних HTTP серверов.

Возьмём два правила:

@app.route('/projects/') def projects(): return 'The project page' @app.route('/about') def about(): return 'The about page' 

Хоть они и выглядят довольно похожими, есть разница в использовании слэша в определении URL. В первом случае, канонический URL имеет завершающую часть projects со слэшем в конце. В этом смысле он похож на папку в файловой системе. В данном случае, при доступе к URL без слэша, Flask перенаправит к каноническому URL с завершающим слэшем.

Однако, во втором случае, URL определен без косой черты — как путь к файлу на UNIX-подобных системах. Доступ к URL с завершающей косой чертой будет приводить к появлению ошибки 404 «Not Found».

Такое поведение позволяет продолжить работать с относительными URL, даже если в конце строки URL пропущен слэш — в соответствии с тем, как работают Apache и другие сервера. Кроме того, URL-адреса останутся уникальными, что поможет поисковым системам избежать повторной переиндексации страницы.

Построение (генерация) URL¶

Раз Flask может искать соответствия в URL, может ли он их генерировать? Конечно, да. Для построения URL для специфической функции, вы можете использовать функцию url_for() . В качестве первого аргумента она принимает имя функции, кроме того она принимает ряд именованных аргументов, каждый из которых соответствует переменной части правила для URL. Неизвестные переменные части добавляются к URL в качестве параметров запроса. Вот некоторые примеры:

>>> from flask import Flask, url_for >>> app = Flask(__name__) >>> @app.route('/') . def index(): pass . >>> @app.route('/login') . def login(): pass . >>> @app.route('/user/') . def profile(username): pass . >>> with app.test_request_context(): . print url_for('index') . print url_for('login') . print url_for('login', next='/') . print url_for('profile', username='John Doe') . / /login /login?next=/ /user/John%20Doe 

(Здесь также использован метод test_request_context() , который будет объяснён ниже. Он просит Flask вести себя так, как будто он обрабатывает запрос, даже если мы взаимодействуем с ним через оболочку Python. Взгляните на нижеследующее объяснение. Локальные объекты контекста (context locals) .

Зачем Вам может потребоваться формировать URL-ы с помощью функции их обращения url_for() вместо того, чтобы жёстко задать их в ваших шаблонах? Для этого есть три веские причины:

1. По сравнению с жёстким заданием URL внутри кода обратный порядок часто является более наглядным. Более того, он позволяет менять URL за один шаг, и забыть про необходимость изменять URL повсюду. 2. Построение URL будет прозрачно для вас осуществлять экранирование специальных символов и данных Unicode, так что вам не придётся отдельно иметь с ними дела. 3. Если ваше приложение размещено не в корневой папке URL root (а, скажем, в /myapplication вместо / ), данную ситуацию нужным для вас образом обработает функция url_for() .

Методы HTTP¶

HTTP (протокол, на котором общаются веб-приложения) может использовать различные методы для доступа к URL-адресам. По умолчанию, route отвечает лишь на запросы типа GET , но это можно изменить, снабдив декоратор route() аргументом methods . Вот некоторые примеры:

from flask import request @app.route('/login', methods=['GET', 'POST']) def login(): if request.method == 'POST': do_the_login() else: show_the_login_form() 

Если присутствует метод GET , то автоматически будет добавлен и HEAD . Вам не придётся иметь с ним дело. Также, при этом можно быть уверенным, что запросы HEAD будут обработаны в соответствии с требованиями HTTP RFC (документ с описанием протокола HTTP), так что вам не требуется ничего знать об этой части спецификации HTTP. Кроме того, начиная с Flask версии 0.6, для вас будет автоматически реализован метод OPTIONS автоматически.

Не имеете понятия, что такое метод HTTP? Не беспокойтесь, здесь приводится быстрое введение в методы HTTP, и почему они важны:

HTTP-метод (также часто называемый командой) сообщает серверу, что хочет сделать клиент с запрашиваемой страницей. Очень распространены Следующие методы:

GET Браузер говорит серверу, чтобы он просто получил информацию, хранимую на этой странице, и отослал её. Возможно, это самый распространённый метод. HEAD Браузер просит сервер получить информацию, но его интересует только заголовки, а не содержимое страницы. Приложение предполагает обработать их так же, как если бы был получен запрос GET , но без доставки фактического содержимого. В Flask, вам вовсе не требуется иметь дело с этим методом, так как нижележащая библиотека Werkzeug сделает всё за вас. POST Браузер говорит серверу, что он хочет сообщить этому URL некоторую новую информацию, и что сервер должен убедиться, что данные сохранены и сохранены в единожды. Обычно, аналогичным образом происходит передача из HTML форм на сервер данных. PUT Похоже на POST , только сервер может вызвать процедуру сохранения несколько раз, перезаписывая старые значения более одного раза. Здесь вы можете спросить, зачем это нужно, и есть несколько веских причин, чтобы делать это подобным образом. Предположим, во время передачи произошла потеря соединения: в этой ситуации система между браузером и сервером, ничего не нарушая, может совершенно спокойно получить запрос во второй раз. С POST такое было бы невозможно, потому что он может быть вызван только один раз. DELETE Удалить информацию, расположенную в указанном месте. OPTIONS Обеспечивает быстрый способ выяснения клиентом поддерживаемых для данного URL методов. Начиная с Flask 0.6, это работает для вас автоматически.

Теперь самое интересное: в HTML 4 и XHTML1, единственными методами, которыми форма может отправить серверу данные, являются GET и POST . Но для JavaScript и будущих стандартов HTML вы также можете использовать и другие методы. Кроме того, в последнее время HTTP стал довольно популярным, и теперь браузеры уже не единственные клиенты, использующие HTTP. Например, его используют многие системы контроля версий.

Статические файлы¶

Динамические веб-приложения также нуждаются и в статических файлах. Обычно, именно из них берутся файлы CSS и JavaScript. В идеале ваш веб-сервер уже сконфигурирован так, чтобы обслуживать их для вас, однако в ходе разработке это также может делать и сам Flask. Просто создайте внутри вашего пакета или модуля папку с названием static , и она будет доступна из приложения как /static .

Чтобы сформировать для статических файлов URL, используйте специальное окончание ‘static’ :

url_for('static', filename='style.css') 

Этот файл должен храниться в файловой системе как static/style.css .

Визуализация шаблонов¶

Генерация HTML из Python — невесёлое и на самом деле довольно сложное занятие, так как вам необходимо самостоятельно заботиться о безопасности приложения, производя для HTML обработку специальных последовательностей (escaping). Поэтому внутри Flask уже автоматически преднастроен шаблонизатор Jinja2.

Для визуализации шаблона вы можете использовать метод render_template() . Всё, что вам необходимо — это указать имя шаблона, а также переменные в виде именованных аргументов, которые вы хотите передать движку обработки шаблонов:

from flask import render_template @app.route('/hello/') @app.route('/hello/') def hello(name=None): return render_template('hello.html', name=name) 

Flask будет искать шаблоны в папке templates . Поэтому, если ваше приложение выполнено в виде модуля, эта папка будет рядом с модулем, а если в виде пакета, она будет внутри вашего пакета:

Первый случай — модуль:

/application.py /templates /hello.html 

Второй случай — пакет:

/application /__init__.py /templates /hello.html 

При работе с шаблонами вы можете использовать всю мощь Jinja2. За дополнительной информацией обратитесь к официальной Документации по шаблонам Jinja2

Вот пример шаблона:

 title>Hello from Flasktitle>  if name %> h1>Hello  <name >>!h1>  else %> h1>Hello World!h1>  endif %> 

Также, внутри шаблонов вы имеете доступ к объектам request , session и g [1], а также к функции get_flashed_messages() .

Шаблоны особенно полезны при использовании наследования. Если вам интересно, как это работает, обратитесь к документации по заготовкам Template Inheritance . Проще говоря, наследование шаблонов позволяет разместить определённые элементы (такие, как заголовки, элементы навигации и «подвал» страницы) на каждой странице.

Автоматическая обработка специальных (escape-) последовательностей (escaping) включена по умолчанию, поэтому если name содержит HTML, он будет экранирован автоматически. Если вы можете доверять переменной и знаете, что в ней будет безопасный HTML (например, потому что он пришёл из модуля конвертирования разметки wiki в HTML), вы можете пометить её в шаблоне, как безопасную — с использованием класса Markup или фильтра |safe . За дополнительными примерами обратитесь к документации по Jinja2.

Вот основные возможности по работе с классом Markup :

>>> from flask import Markup >>> Markup('Hello %s!') % 'hacker' Markup(u'Hello <blink>hacker</blink>!') >>> Markup.escape('hacker') Markup(u'<blink>hacker</blink>') >>> Markup('Marked up » HTML').striptags() u'Marked up \xbb HTML' 

Изменено в версии 0.5: Автоматическая обработка escape-последовательностей больше не активирована для всех шаблонов. Вот расширения шаблонов, которые активизируют автообработку: .html , .htm , .xml , .xhtml . Шаблоны, загруженные из строк, не будут обрабатывать специальные последовательности.

[1]	Затрудняетесь понять, что это за объект — g ? Это то, в чём вы можете хранить информацию для ваших собственных нужд, для дополнительной информации смотрите документацию на этот объект ( g ) и sqlite3 .

Доступ к данным запроса¶

Для веб-приложений важно, чтобы они реагировали на данные, которые клиент отправляет серверу. В Flask эта информация предоставляется глобальным объектом request . Если у вас есть некоторый опыт по работе с Python, вас может удивить, как этот объект может быть глобальным, и как Flask при этом умудрился остаться ориентированным на многопоточное выполнение.

Локальные объекты контекста (context locals)¶

Информация от инсайдера

Прочтите этот раздел, если вы хотите понять, как это работает, и как вы можете реализовать тесты с локальными переменными контекста. Если вам это неважно, просто пропустите его.

Некоторые объекты в Flask являются глобальными, но необычного типа. Эти объекты фактически являются прокси (посредниками) к объектам, локальным для конкретного контекста. Труднопроизносимо. Но на самом деле довольно легко понять.

Представьте себе контекст, обрабатывающий поток. Приходит запрос, и веб-сервер решает породить новый поток (или нечто иное — базовый объект может иметь дело с системой параллельного выполнения не на базе потоков). Когда Flask начинает осуществлять свою внутреннюю обработку запроса, он выясняет, что текущий поток является активным контекстом и связывает текущее приложение и окружение WSGI с этим контекстом (потоком). Он делает это с умом — так, что одно приложение может, не ломаясь, вызывать другое приложение.

Итак, что это означает для вас? В принципе, вы можете полностью игнорировать, что это так, если вы не делаете чего-либо вроде тестирования модулей. Вы заметите, что код, зависящий от объекта запроса, неожиданно будет работать неправильно, так как отсутствует объект запроса. Решением является самостоятельное создание объекта запроса и его привязка к контексту. Простейшим решением для тестирования модулей является использование менеджера контекстов test_request_context() . В сочетании с оператором with этот менеджер свяжет тестовый запрос так, что вы сможете с ним взаимодействовать. Вот пример:

from flask import request with app.test_request_context('/hello', method='POST'): # теперь, и до конца блока with, вы можете что-либо делать # с контекстом, например, вызывать простые assert-ы: assert request.path == '/hello' assert request.method == 'POST' 

Другая возможность — это передача целого окружения WSGI методу request_context() method:

from flask import request with app.request_context(environ): assert request.method == 'POST' 

Объект запроса¶

Объект запроса документирован в секции API, мы не будем рассматривать его здесь подробно (смотри request ). Вот широкий взгляд на некоторые наиболее распространённые операции. Прежде всего, вам необходимо импортировать его из модуля flask :

from flask import request 

В настоящее время метод запроса доступен через использование атрибута method . Для доступа к данным формы (данным, которые передаются в запросах типа POST или PUT ), вы можете использовать атрибут form . Вот полноценный пример работы с двумя упомянутыми выше атрибутами:

@app.route('/login', methods=['POST', 'GET']) def login(): error = None if request.method == 'POST': if valid_login(request.form['username'], request.form['password']): return log_the_user_in(request.form['username']) else: error = 'Invalid username/password' # следущий код выполняется при методе запроса GET # или при признании полномочий недействительными return render_template('login.html', error=error) 

Что произойдёт, если ключ, указанный в атрибуте form , не существует? В этом случае будет возбуждена специальная ошибка KeyError . Вы можете перехватить её подобно стандартной KeyError , но если вы этого не сделаете, вместо этого будет показана страница с ошибкой HTTP 400 Bad Request . Так что во многих ситуациях вам не придётся иметь дело с этой проблемой.

Для доступа к параметрам, представленным в URL ( ?ключ=значение ), вы можете использовать атрибут args :

searchword = request.args.get('key', '') 

Мы рекомендуем доступ к параметрам внутри URL через get или через перехват KeyError , так как пользователь может изменить URL, а предъявление ему страницы с ошибкой 400 bad request не является дружественным.

За полным списком методов и атрибутов объекта запроса, обратитесь к следующей документации: request .

Загрузка файлов на сервер¶

В Flask обработка загружаемых на сервер файлов является несложным занятием. Просто убедитесь, что вы в вашей HTML-форме не забыли установить атрибут enctype=»multipart/form-data» , в противном случае браузер вообще не передаст файл.

Загруженные на сервер файлы сохраняются в памяти или во временной папке внутри файловой системы. Вы можете получить к ним доступ, через атрибут объекта запроса files . Каждый загруженный файл сохраняется в этом словаре. Он ведёт себя так же, как стандартный объект Python file , однако он также имеет метод save() , который вам позволяет сохранить данный файл внутрь файловой системы сервера. Вот простой пример, показывающий, как это работает:

from flask import request @app.route('/upload', methods=['GET', 'POST']) def upload_file(): if request.method == 'POST': f = request.files['the_file'] f.save('/var/www/uploads/uploaded_file.txt') . 

Если вы хотите до загрузки файла в приложение узнать, как он назван на стороне клиента, вы можете просмотреть атрибут filename . Однако, имейте в виду, что данному значению никогда не стоит доверять, потому что оно может быть подделано. Если вы хотите использовать имя файла на клиентской стороне для сохранения файла на сервере, пропустите его через функцию secure_filename() , которой вас снабдил Werkzeug:

from flask import request from werkzeug import secure_filename @app.route('/upload', methods=['GET', 'POST']) def upload_file(): if request.method == 'POST': f = request.files['the_file'] f.save('/var/www/uploads/' + secure_filename(f.filename)) . 

Некоторые более удачные примеры можно найти в разделе заготовок: Загрузка файлов .

Cookies¶

Для доступа к cookies можно использовать атрибут cookies . Для установки cookies можно использовать метод объектов ответа set_cookie . Атрибут объектов запроса cookies — это словарь со всеми cookies, которые передаёт клиент. Если вы хотите использовать сессии, то не используйте cookies напрямую, вместо этого используйте во Flask Сессии , который при работе с cookies даст вам некоторую дополнительную безопасность.

from flask import request @app.route('/') def index(): username = request.cookies.get('username') # Чтобы не получить в случае отсутствия cookie ошибку KeyError # используйте cookies.get(key) вместо cookies[key] 

from flask import make_response @app.route('/') def index(): resp = make_response(render_template(. )) resp.set_cookie('username', 'the username') return resp 

Заметьте, что cookies устанавливаются в объектах ответа. Так как вы обычно просто возвращаете строки из функций представления, Flask конвертирует их для вас в объекты ответа. Если вы это хотите сделать явно, то можете использовать функцию, make_response() , затем изменив её.

Иногда вы можете захотеть установить cookie в точке, где объект ответа ещё не существует. Это можно сделать, используя заготовку deferred-callbacks .

Также об этом можно почитать здесь: Об ответах .

Ошибки и перенаправления¶

Чтобы перенаправить пользователя в иную конечную точку, используйте функцию redirect() ; для того, чтобы преждевременно прервать запрос с кодом ошибки, используйте функцию abort() function:

from flask import abort, redirect, url_for @app.route('/') def index(): return redirect(url_for('login')) @app.route('/login') def login(): abort(401) this_is_never_executed() 

Это довольно бессмысленный пример, потому что пользователь будет перенаправлен с индексной страницы на страницу, на которую у него нет доступа ( 401 означает отказ в доступе), однако он показывает, как это работает.

По умолчанию, для каждого кода ошибки отображается чёрно-белая страница с ошибкой. Если вы хотите видоизменить страницу с ошибкой, то можете использовать декоратор errorhandler() :

from flask import render_template @app.errorhandler(404) def page_not_found(error): return render_template('page_not_found.html'), 404 

Обратите внимание на 404 после вызова render_template() . Это сообщит Flask, что код статуса для этой страницы должен быть 404, что означает «не найдено». По умолчанию предполагается код «200», который означает «всё прошло хорошо».

Об ответах¶

Возвращаемое из функции представления значение автоматически для вас конвертируется вас в объект ответа. Если возвращаемое значение является строкой, оно конвертируется в объект ответа в строку в виде тела ответа, код статуса 200 OK и в mimetype со значением text/html . Логика, которую применяет Flask для конвертации возвращаемых значений в объекты ответа следующая:

1. Если возвращается объект ответа корректного типа, он прямо возвращается из представления.
2. Если это строка, создаётся объект ответа с этими же данными и параметрами по умолчанию.
3. Если возвращается кортеж, его элементы могут предоставлять дополнительную информацию. Такие кортежи должны соответствовать форме (ответ, статус, заголовки) , кортеж должен содержать хотя бы один из перечисленных элементов. Значение статус заменит код статуса, а элемент заголовки может быть или списком или словарём с дополнительными значениями заголовка.
4. Если ничего из перечисленного не совпало, Flask предполагает, что возвращаемое значение — это допустимая WSGI-заявка, и конвертирует его в объект ответа.

Если вы хотите в результате ответа заполучить объект внутри представления, то можете использовать функцию make_response() .

Представим, что вы имеете подобное представление:

@app.errorhandler(404) def not_found(error): return render_template('error.html'), 404 

Вам надо всего лишь обернуть возвращаемое выражение функцией make_response() и получить объект ответа для его модификации, а затем вернуть его:

@app.errorhandler(404) def not_found(error): resp = make_response(render_template('error.html'), 404) resp.headers['X-Something'] = 'A value' return resp 

Сессии¶

В дополнение к объекту ответа есть ещё один объект, называемый session , который позволяет вам сохранять от одного запроса к другому информацию, специфичную для пользователя. Это реализовано для вас поверх cookies, при этом используется криптографическая подпись этих cookie. Это означает, что пользователь может посмотреть на содержимое cookie, но не может ничего в ней изменить, если он конечно не знает значение секретного ключа, использованного для создания подписи.

В случае использования сессий вам необходимо установить значение этого секретного ключа. Вот как работают сессии:

from flask import Flask, session, redirect, url_for, escape, request app = Flask(__name__) @app.route('/') def index(): if 'username' in session: return 'Logged in as %s' % escape(session['username']) return 'You are not logged in' @app.route('/login', methods=['GET', 'POST']) def login(): if request.method == 'POST': session['username'] = request.form['username'] return redirect(url_for('index')) return '''   
  ''' @app.route('/logout') def logout(): # удалить из сессии имя пользователя, если оно там есть session.pop('username', None) return redirect(url_for('index')) # set the secret key. keep this really secret: app.secret_key = 'A0Zr98j/3yX R~XHH!jmN]LWX/,?RT' 

Упомянутая escape() осуществляет для вас обработку специальных последовательностей (escaping), что необходимо, если вы не используете движок шаблонов (как в этом примере).

Как генерировать хорошие секретные ключи

Проблемой случайных значений является то, что трудно сказать, что действительно является является случайным. А секретный ключ должен быть настолько случайным, насколько это возможно. У вашей операционной системы есть способы для генерации достаточно случайных значений на базе криптографического случайного генератора, который может быть использован для получения таких ключей:

>>> import os >>> os.urandom(24) '\xfd 

Просто возьмите, скопируйте/вставьте это в ваш код, вот и готово.

Замечание о сессиях на базе cookie: Flask возьмёт значения, которые вы помещаете в объект сессии, и сериализует их в cookie. Если вы обнаружили какие-либо значения, которые не сохраняются между запросами, а cookies реально включены, а никаких ясных сообщений об ошибках не было, проверьте размер cookie в ответах вашей страницы и сравните с размером, поддерживаемым веб-браузером.

Message Flashing¶

Хорошие приложения и интерфейсы пользователя дают обратную связь. Если пользователь не получает достаточной обратной связи, вскоре он может начать ненавидеть приложение. При помощи системы всплывающих сообщений Flask предоставляет пользователю по-настоящему простой способ обратной связи. Система всплывающих сообщений обычно делает возможным записать сообщение в конце запроса и получить к нему доступ во время обработки следующего и только следующего запроса. Обычно эти сообщения используются в шаблонах макетов страниц, которые его и отображают.

Чтобы вызвать всплывающие сообщения, используйте метод flash() , чтобы заполучить сообщения, можно использовать метод, также доступный для шаблонов — get_flashed_messages() . Полный пример приведён в разделе Всплывающие сообщения .

Ведение журналов¶

Добавлено в версии 0.3.

Иногда может возникнуть ситуация, в которой вы имеете дело с данными, которые должны быть корректными, но в действительности это не так. К примеру, у вас может быть некий код клиентской стороны, который посылает HTTP-запрос к серверу, однако он очевидным образом неверен. Это может произойти из-за манипуляции пользователя с данными, или из-за неудачной работы клиентского кода. В большинстве случаев ответом, адекватным ситуации будет 400 Bad Request , но иногда, когда надо, чтобы код продолжал работать, это не годится.

Вы по-прежнему хотите иметь журнал того, что пошло не так. Вот где могут пригодиться объекты создания журнала logger . Начиная с Flask 0.3, инструмент для журналирования уже настроен для использования.

Вот некоторые примеры вызовов функции журналирования:

app.logger.debug('Значение для отладки') app.logger.warning('Предупреждение: (%d яблок)', 42) app.logger.error('Ошибка') 

Прилагаемый logger это стандартный класс журналирования Logger , так что за подробностями вы можете обратиться к официальной документации по журналированию.

Как зацепиться (hooking) к промежуточному слою WSGI¶

Если вы хотите добавить в ваше приложение слой промежуточного, или связующего для WSGI программного обеспечения (middleware), вы можете обернуть внутреннее WSGI-приложение. К примеру, если вы хотите использовать одно из middleware из пакета Werkzeug для обхода известных багов в lighttpd, вы можете сделать это подобным образом:

from werkzeug.contrib.fixers import LighttpdCGIRootFix app.wsgi_app = LighttpdCGIRootFix(app.wsgi_app) 

Развёртывание приложения на веб-сервере¶

Готовы к развёртыванию на сервере вашего нового приложения Flask? В завершение краткого руководства, вы можете немедленно развернуть приложение на одной из платформ хостинга, предоставляющих бесплатное размещение для малых проектов:

• Развёртывание приложения Flask на Heroku
• Развёртывание WSGI в dotCloud с специфическими для Flask замечаниями

Другие места, где можно разместить ваше приложение:

• Развёртывание приложения Flask на Webfaction
• Развёртывание приложения Flask в Google App Engine
• Общий доступ к локальному хосту с помощью Localtunnel

Если вы управляете собственными хостами и желаете разместиться у себя, смотрите раздел Варианты развёртывания .

#13 Сессии во Flask

Сессии — еще один способ хранить данные конкретных пользователей между запросами. Они работают по похожему на куки принципу. Для использования сессии нужно сперва настроить секретный ключ. Объект session из пакета flask используется для настройки и получения данных сессии. Объект session работает как словарь, но он также может отслеживать изменения.

При использовании сессий данные хранятся в браузере как куки. Куки, используемые для хранения данных сессии — это куки сессии. Тем не менее в отличие от обычных куки Flask криптографически отмечает куки сессии. Это значит, что каждый может видеть содержимое куки, но не может их менять, не имея секретного ключа для подписи. Как только куки сессии настроены, каждый последующий запрос к серверу подтверждает подлинность куки с помощью такого же секретного ключа. Если Flask не удается это сделать, тогда его контент отклоняется, а браузер получает новые куки сессии.

Знакомые с сессиями из языка PHP заметят, что сессии во Flask немного отличаются. В PHP куки сессии не хранят данные о сессии, а только id сессии. Это уникальная строка, которую PHP создает для ассоциации данных сессии с куки. Данные сессии хранятся на сервере в виде файла. При получении запроса от пользователя PHP использует id сессии, чтобы найти данные сессии и отобразить их в коде. Такой тип сессий известен как серверный, а те, которые используются во Flask, называется клиентскими.

По умолчанию различий между куки и клиентскими сессиями во Flask не так много. В итоге клиентские сессии страдают от тех же недостатков, что и обычные куки:

• Не могут хранить конфиденциальную информацию, такую как пароли.
• Дают лишнюю нагрузку при каждом запросе.
• Не способны хранить больше 4 КБ.
• Ограничены в общем количестве куки для одного сайта

Единственное реальное различие между куки и клиентскими сессиями — Flask гарантирует, что содержимое куки сессии не может быть изменено пользователям (только если у него нет секретного ключа).

Для использования клиентских сессий во Flask можно или написать собственный интерфейс сессии или использовать расширения, такие как Flask-Session или Flask-KVSession.

Как читать, записывать и удалять данные сессии

Следующий код демонстрирует, как можно читать, записывать и удалять данные сессии. Откроем файл main2.py , чтобы добавить следующий код после функции представления article() :

from flask import Flask, render_template, request, redirect, url_for, flash, make_response, session #. @app.route('/visits-counter/') def visits(): if 'visits' in session: session['visits'] = session.get('visits') + 1 # чтение и обновление данных сессии else: session['visits'] = 1 # настройка данных сессии return "Total visits: <>".format(session.get('visits')) @app.route('/delete-visits/') def delete_visits(): session.pop('visits', None) # удаление данных о посещениях return 'Visits deleted' #. 

Стоит обратить внимание, что объект session используется как обычный словарь. Если сервер не запущен, нужно его запустить и зайти на https://localhost:5000/visits-counter/ . На странице будет счетчик посещений:

Чтобы увеличить его, нужно несколько раз обновить страницу.

Flask отправляет куки сессии клиенту только при создании новой сессии или изменении существующей. При первом посещении https://localhost:5000/visits-counter/ будет исполнено тело else в функции представления visits() , в результате чего будет создана новая сессия. При создании новой сессии Flask отправит куки сессии клиенту. Последующие запросы к https://localhost:5000/visits-counter приведут к исполнению кода в блоке if , в котором обновляется значение счетчика visits сессии. При изменении сессии будет создан новый файл куки, поэтому Flask отправит новые куки сессии клиенту.

Чтобы удалить данные сессии нужно зайти на https://localhost:5000/delete-visits/ .

Если сейчас открыть https://localhost:5000/visits-counter , счетчик посещений снова будет показывать 1.

По умолчанию куки сессии существуют до тех пор, пока не закроется браузер. Чтобы продлить жизнь куки сессии, нужно установить значение True для атрибута permanent объекта session . Когда значение permanent равно True , срок куки сессии будет равен permanent_session_lifetime . permanent_session_lifetime — это атрибут datetime.timedelta объекта Flask . Его значение по умолчанию равно 31 дню. Изменить его можно, выбрав новое значение для атрибута permanent_session_lifetime , используя ключ настройки PERMANENT_SESSION_LIFETIME .

import datetime app = Flask(__name__) app.permanent_session_lifetime = datetime.timedelta(days=365) # app.config['PERMANENT_SESSION_LIFETIME'] = datetime.timedelta(days=365) 

Как и request , объект sessions доступен в шаблонах.

Изменение данных сессии

Примечание: перед тем как следовать инструкции, нужно удалить куки, установленные локальным хостом.

Большую часть времени объект session автоматически подхватывает изменения. Но бывают случаи, например изменение структуры изменяемых данных, которые не подхватываются автоматически. Для таких ситуаций нужно установить значение True для атрибута modified объекта session . Если этого не сделать, Flask не будет отправлять обновленные куки клиенту. Следующий код показывает, как использовать атрибут modified объекта session . Откроем файл main2.py , чтобы добавить следующий код перед функцией представления delete_visitis() .

#. @app.route('/session/') def updating_session(): res = str(session.items()) cart_item = 'pineapples': '10', 'apples': '20', 'mangoes': '30'> if 'cart_item' in session: session['cart_item']['pineapples'] = '100' session.modified = True else: session['cart_item'] = cart_item return res #. 

При первом посещении https://localhost:5000/session/ код в блоке else будет исполнен. Он создаст новую сессию, где данные сессии будут в виде словаря. Последующий запрос к https://localhost:5000/session/ обновляет данные сессии, установив количество «ананасов» на значении 100. В следующей строке атрибут modified получает значение True , потому что без него Flask не будет отправлять обновленные куки сессии клиенту.

Если сервер не запущен, его следует запустить и зайти на https://localhost:5000/session/ . Отобразится пустой словарь session , потому что у браузера еще нет куки сессии, которые он мог бы отправить серверу:

Если страницу перезагрузить, в словаре session будет уже «10 ананасов»:

Перезагрузив страницу в третий раз, можно увидеть, что словарь session имеет значение «ананасов» равное 100, а не 10:

Объект сессии подхватил изменение благодаря атрибуту modified . Удостовериться в этом можно, удалив куки сессии и закомментировав строку, где для атрибута modified устанавливается значение True . Теперь после первого запроса значение словаря сессии будет равно «10 ананасам».

Это все, что нужно знать о сессиях во Flask. И важно не забывать, что по умолчанию сессии во Flask являются клиентскими.