我正在 Flask 中编写一个混合的单页 Web/PhoneGap 应用程序。由于 PhoneGap 应用程序中的 cookie 基本不可用，因此我实现了自定义 session interface这完全避免了 cookie。它将 session 数据存储在应用程序数据库中，并在 HTTP 请求和响应主体中显式传递 session ID。

我创建了一个 GitHub repository减少测试用例。它本身仍然是一个相当大的项目，但自述文件应该可以帮助您快速找到自己的方法。该存储库包括七个测试，在使用 Flask 默认的基于 cookie 的 session 接口(interface)时全部成功，而在我的自定义 session 接口(interface)中全部失败。主要问题似乎是数据有时不会保留在 session 对象上，但这是神秘的，因为 session 对象继承自 Python 的内置 dict，它不应该自发地忘记数据。另外，session的界面比较简单明了，和Flask's example Redis session snippet相比似乎没有什么明显的错误。 .

更令人沮丧的是，自定义 session 界面似乎在实际应用程序中可以正常工作。只有单元测试失败。但是，由于这个原因，假设 session 接口(interface)在所有情况下都能正常工作是不安全的。

非常感谢您的帮助。

编辑: Gist 不接受简化的测试用例，因为它包含目录。我现在将它移动到一个成熟的 GitHub 存储库。完成后我会再次更新这篇文章。

新编辑:将精简的测试用例移至适当的 GitHub 存储库。自述文件仍然提到“this Gist”，抱歉。

最佳答案

您的问题主要归结为在您的测试请求中提供 session token 。如果您不提供 token ，则 session 为空。

我假设您的实际应用程序正确发送了 session token ，因此似乎可以正常工作。

修复测试用例以正确通过并不需要太多。

每个请求都尝试根据 post 参数加载 session

在您的 session 实现中:

def open_session(self, app, request):
    s = Session()
    if 't' in request.form:
        ....

    return s

这意味着每个不是POST(或PUT)并且没有发送t的请求都会 有一个空白 session 。

而基于 cookie 的实现将始终具有可用的 session token 并且能够加载以前请求的 session 。

这是您的示例测试之一:

def test_authorize_captcha_expired(self):
    with self.client as c:
        with c.session_transaction() as s:
            s['captcha-answer'] = u'one two three'.split()
            s['captcha-expires'] = datetime.today() - timedelta(minutes=1)
        self.assertEqual(c.post('/test', data={
            'ca': 'one two three',
        }).status_code, 400)

您还没有为发送到 /test 的帖子提供 t 值。因此它得到一个空白 没有 captcha-expires key 和 KeyError 的 session 被引发。

您的 session 需要一个“ token ” key 才能保存

在您的 session 实现中:

def save_session(self, app, session, response):
    if session.modified and 'token' in session:
        ...
        # save session to database
        ...

因此当你有:

with c.session_transaction() as s:
    s['captcha-answer'] = u'one two three'.split()
    s['captcha-expires'] = datetime.today() - timedelta(minutes=1)

实际上没有 session 被写入数据库。对于任何后续请求 利用。请注意，它确实确实需要写入数据库，因为 open_session 会在每次请求时尝试从数据库加载一些内容。

要解决大多数情况，您需要在创建 session 时提供一个“ token ”，并为使用它的任何请求提供一个带有该 token 的“t”。

因此我上面使用的示例测试最终会像这样:

def test_authorize_captcha_expired(self):
    with self.client as c:
        token = generate_key(SystemRandom())
        with c.session_transaction() as s:
            s['token'] = token
            s['captcha-answer'] = u'one two three'.split()
            s['captcha-expires'] = datetime.today() - timedelta(minutes=1)
        self.assertEqual(c.post('/test', data={
            'ca': 'one two three',
            't': token
        }).status_code, 400)

当你用 json 响应时你改变了 token

...但是您在发出后续请求时并未使用新 token

def test_reply_to_reflection_passthrough(self):
    with self.client as c:
        token = 'abcdef'

        ...

        response2 = c.post('/reflection/1/reply', data={
            'p': 'test4',
            'r': 'testmessage',
            't': token,
        }, ...

到这里，/reflection/1/reply 的帖子生成了一个新的 token 并保存，因此关键键 last-reply 不在 由 abcdef 标识的 session 。如果这是基于 cookie 的 session ，那么 last-reply 将可用于下一个请求。

所以要修复此测试...使用新 token

def test_reply_to_reflection_passthrough(self):
    with self.client as c:

        ...

        response2 = c.post('/reflection/1/reply', data={

        ...

        token = session['token']
        with c.session_transaction(method="POST", data={'t':token}) as s:
            s['token'] = token
            s['last-request'] = datetime.now() - timedelta(milliseconds=1001)

        response3 = c.post('/reflection/1/reply', data={

        ...

重定向将丢失 session token

在测试test_bump中:

def test_bump(self):
    response = self.client.post(
        '/admin/tip/action/',
        data = {'action': 'Bump', 'rowid': '1',},
        follow_redirects=True )
    self.assertIn(' tips have been bumped.', response.data)

/admin/tip/action 的帖子返回重定向。

此处您正在检查是否存在即显消息。和闪讯 存储在 session 中。

对于基于 cookie 的 session ， session ID 将随后续重定向请求再次发送。

由于您的 session ID 被指定为一个 post 值，它不会再次发送， session 和 flash 消息都将丢失。

解决这个问题的方法不是遵循重定向，而是通过 flasks flash 方法检查 session 中的数据集。

def test_bump(self):
    with self.client as c:
        token = generate_key(SystemRandom())
        with c.session_transaction() as s:
            s['token'] = token
        c.post('/admin/tip/action/',
               data={'action': 'Bump', 'rowid': '1', 't': token})

        with c.session_transaction(method="POST", data={'t': token}) as s:
            self.assertIn(' tips have been bumped.', s['_flashes'][0][1])

就是这样

我已经发送了一个拉取请求，其中包含我上面描述的更改，您会发现默认的 flask session 和您的 session 实现的测试现在都通过了。

关于python - 为什么这些自定义 Flask session 接口(interface)的测试失败了？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/32483063/