中间件 - 《Django 2.0 学习笔记》

自定义中间件
- 使用函数的中间件
- 使用类的中间件
Django内置的中间件
内置中间件放置的顺序

中间件是在request和response处理过程中的一个插件。比如在request到达视图函数之前，我们可以使用中间件来做一些相关的事情，比如可以判断当前这个用户有没有登录，如果登录了，就绑定一个front_user对象到request上。也可以在response到达浏览器之前，做一些相关的处理，比如想要统一在response上设置一些cookie信息等。

自定义中间件

中间件所处的位置没有规定。
只要是放到项目当中即可。一般分为两种情况，如果中间件是属于某个app的，那么可以在这个app下面创建一个python文件用来存放这个中间件，也可以专门创建一个Python包，用来存放本项目的所有中间件。
创建中间件有两种方式，一种是使用函数，一种是使用类

使用函数的中间件

这里用到了模型User

class User(models.Model):
    username = models.CharField(max_length=20, validators=[MinLengthValidator(4)])
    phone = models.CharField(max_length=11)
    password = models.CharField(max_length=16, validators=[MinLengthValidator(6)])

from .models import User
def front_user_middleware(get_response):
    # 执行一些初始化的代码
    print("初始化")
    def middleware(request):  # 函数名随意
        user_id = request.session.get("user_id")   # 这里session的user_id的值是User某个对象的id
        if user_id:
            try:  # 如果查找到该模型对象，绑定到request的front_user(自己定义)上
                user = User.objects.get(pk=user_id)
                request.front_user = user
            except:
                request.front_user = None
        else:
            request.front_user = None
        # print("在request到view之前的代码")
        # 在这个代码执行之前的代码，是request到view之前的代码
        response = get_response(request)
        # response对象到达浏览器之前执行的代码
        # print("response到达浏览器之前的代码")
        return response
    return middleware

使用类的中间件

from .models import User
class FrontUserMiddleware(object):
    def __init__(self, get_response):
        # 初始化代码
        self.get_response = get_response
    def __call__(self, request):
        user_id = request.session.get("user_id")
        if user_id:
            try:
                user = User.objects.get(pk=user_id)
                request.front_user = user
            except:
                request.front_user = None
        else:
            request.front_user = None
        response = self.get_response(request)
        return response

在写完中间件后，还需要在settings.py中的MIDDLEWARES中配置写好的中间件才可以使用。

那么就可以在settings.MIDDLEWARES下做以下配置：

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
     #'front.middlewares.front_user_middleware',  # 这里配置路径
    'front.middlewares.FrontUserMiddleware',
]

如何使用

# view.py
def index(request):
    print(type(request.front_user))
    return HttpResponse("hello")

{% if request.front_user %}
            <li><a href="/">{{ request.front_user.username }}</a></li>
          {% else %}
            <li><a href="{% url 'signin' %}">登陆</a></li>
            <li><a href="{% url 'register' %}">注册</a></li>
          {% endif %}

中间件的执行是有顺序的，他会根据在MIDDLEWARE中存放的顺序来执行。因此如果有些中间件是需要基于其他中间件的，那么就需要放在其他中间件的后面来执行。

Django内置的中间件

django.middleware.common.CommonMiddleware

：通用中间件。他的作用如下：
- 限制settings.py中DISALLOWED_USER_AGENTS中指定的请求头来访问本网站。DISALLOWED_USER_AGENT是一个正则表达式的列表。示例代码如下： ```python import re

DISALLOWED_USER_AGENTS = [ # 指定无法访问的请求头 re.compile(r’^\s$|^$’), # 空白字符或者无 re.compile(r’.PhantomJS.‘), # 包含PhantomJs这个浏览器名称 ] ```

如果开发者在定义url的时候，最后有一个斜杠。但是用户在访问url的时候没有提交这个斜杠，那么CommonMiddleware会自动的重定向到加了斜杠的url上去。
1. django.middleware.gzip.GZipMiddleware：将响应数据进行压缩。如果内容长度少于200个长度，那么就不会压缩。
2. django.contrib.messages.middleware.MessageMiddleware：消息处理相关的中间件。
3. django.middleware.security.SecurityMiddleware：做了一些安全处理的中间件。比如设置XSS防御的请求头，比如做了http协议转https协议的工作等。
4. django.contrib.sessions.middleware.SessionMiddleware：session中间件。会给request添加一个处理好的session对象。所以request不是一开始创建就有session
5. django.contrib.auth.middleware.AuthenticationMiddleware：会给request添加一个user对象的中间件。
6. django.middleware.csrf.CsrfViewMiddleware：CSRF保护的中间件。
7. django.middleware.clickjacking.XFrameOptionsMiddleware：做了clickjacking攻击的保护。clickjacking保护是攻击者在自己的病毒网站上，写一个诱惑用户点击的按钮，然后使用iframe的方式将受攻击的网站（比如银行网站）加载到自己的网站上去，并将其设置为透明的，用户就看不到，然后再把受攻击的网站（比如银行网站）的转账按钮定位到病毒网站的按钮上，这样用户在点击病毒网站上按钮的时候，实际上点击的是受攻击的网站（比如银行网站）上的按钮，从而实现了在不知不觉中给攻击者转账的功能。
8. 缓存中间件：用来缓存一些页面的。
django.middleware.cache.UpdateCacheMiddleware。
django.middleware.cache.FetchFromCacheMiddleware。

内置中间件放置的顺序

SecurityMiddleware：应该放到最前面。因为这个中间件并不需要依赖任何其他的中间件。如果你的网站同时支持http协议和https协议，并且你想让用户在使用http协议的时候重定向到https协议，那么就没有必要让他执行下面一大串中间件再重定向，这样效率更高。
UpdateCacheMiddleware：应该在SessionMiddleware, GZipMiddleware, LocaleMiddleware之前。
GZipMiddleware。
ConditionalGetMiddleware。
SessionMiddleware。
LocaleMiddleware。
CommonMiddleware。
CsrfViewMiddleware。
AuthenticationMiddleware。
MessageMiddleware。
FetchFromCacheMiddleware。
FlatpageFallbackMiddleware。
RedirectFallbackMiddleware。