session会话

除了请求对象，还有第二个称为 session 的对象允许你在不同请求间存储特定用户的信息。 这是在 cookies 的基础上实现的，并且在 cookies 中使用加密的签名。这意味着用户可以查看 cookie的内容， 但是不能修改它，除非它知道签名的密钥。

要使用会话，你需要设置一个密钥。这里介绍会话如何工作：

from flask import Flask, session, redirect, url_for, request
from markupsafe import escape

app = Flask(__name__)

# Set the secret key to some random bytes. Keep this really secret!
# *************这里非常重要，密钥需要一定的复杂度以及不要泄漏************
app.secret_key = b'_5#y2L"F4Q8z\n\xec]/'

@app.route('/')
def index():
    if 'username' in session:
        return 'Logged in as %s' % escape(session['username'])
    return 'You are not logged in'

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'POST':
        session['username'] = request.form['username']
        return redirect(url_for('index'))
    return '''
        <form method="post">
            <p><input type=text name=username>
            <p><input type=submit value=Login>
        </form>
    '''

@app.route('/logout')
def logout():
    # remove the username from the session if it's there
    session.pop('username', None)
    return redirect(url_for('index'))

这里提到的escape()可以在你不使用模板引擎的时候做转义（如同本例)

怎样产生一个好的密钥

随机的问题在于很难判断什么是真随机。一个密钥应该足够随机。你的操作系统可以基于一个密码随机生成器来生成漂亮的随机值，这个值可以用来做密钥.

$ python -c 'import os; print(os.urandom(16))'
b'_5#y2L"F4Q8z\n\xec]/'

请不要直接使用该页面输出的字符，应当使用你运行后的结果

使用基于 cookie 的会话需注意: Flask 会将你放进会话对象的值序列化到 cookie。如果发现某些值在请求中不持久，而确实启用了cookie， 并且你没有获得明确的错误信息，请检查你页面请求中 cookie 的大小，并与 web 浏览器所支持的大小对比。