class Application(tornado.web.Application): 
  def __init__(self): 
    settings = dict( 
      # 设定 cookie_secret, 用于 secure_cookie 
      cookie_secret = "e446976943b4e8442f099fed1f3fea28462d5832f483a0ed9a3d5d3859f==78d", 
      # 设定 session_secret 用于生成 session_id 
      session_secret = "3cdcb1f00803b6e78ab50b466a40b9977db396840c28307f428b25e2277f1bcc", 
      # memcached 地址 
      memcached_address = ["127.0.0.1:11211"], 
      # session 过期时间 
      session_timeout = 60, 
      template_path = os.path.join(os.path.dirname(__file__), "templates"), 
      static_path = os.path.join(os.path.dirname(__file__), "static"), 
      xsrf_cookies = True, 
      login_url = "/login", 
    ) 
 
    handlers = [ 
      (r"/", MainHandler), 
      (r"/login", LoginHandler) 
    ] 
 
    # 初始化父类 tornado.web.Application 
    tornado.web.Application.__init__(self, handlers, **settings) 
    # 初始化该类的 session_manager 
    self.session_manager = session.SessionManager(settings["session_secret"], settings["memcached_address"], settings["session_timeout"]) 

class LoginHandler(BaseHandler): 
  def get(self): 
    self.render("login.html") 
 
  def post(self): 
    # 以字典的键值对形式存取 
    self.session["user_name"] = self.get_argument("name") 
    # 修改完要调用 session 的 save, 否则等于没有修改哦... 
    self.session.save() 
    self.redirect("/") 

class BaseHandler(tornado.web.RequestHandler): 
  def __init__(self, *argc, **argkw): 
    super(BaseHandler, self).__init__(*argc, **argkw) 
    # 定义 handler 的 session, 注意，根据 HTTP 特点，每次访问都会初始化一个 Session 实例哦，这对于你后面的理解很重要 
    self.session = session.Session(self.application.session_manager, self) 
 
  # 这是干嘛的？用于验证登录...请 google 关于 tornado.web.authenticated, 其实就是 tornado 提供的用户验证 
  def get_current_user(self): 
    return self.session.get("user_name") 

# 继承字典，因为 session 的存取类似于字典 
class SessionData(dict): 
  # 初始化时提供 session id 和 hmac_key 
  def __init__(self, session_id, hmac_key): 
    self.session_id = session_id 
    self.hmac_key = hmac_key 

# 继承 SessionData 类 
class Session(SessionData): 
  # 初始化，绑定 session_manager 和 tornado 的对应 handler 
  def __init__(self, session_manager, request_handler): 
    self.session_manager = session_manager 
    self.request_handler = request_handler 
 
    try: 
      # 正常是获取该 session 的所有数据，以 SessionData 的形式保存 
      current_session = session_manager.get(request_handler) 
    except InvalidSessionException: 
      # 如果是第一次访问会抛出异常，异常的时候是获取了一个空的 SessionData 对象,里面没有数据，但包含新生成的 
      # session_id 和 hmac_key 
      current_session = session_manager.get() 
 
    # 取出 current_session 中的数据，以键值对的形式迭代存下 
    for key, data in current_session.iteritems(): 
      self[key] = data 
 
    # 保存下 session_id 
    self.session_id = current_session.session_id 
    # 以及对应的 hmac_key 
    self.hmac_key = current_session.hmac_key 
 
  # 定义 save 方法，用于 session 修改后的保存，实际调用 session_manager 的 set 方法 
  def save(self): 
    self.session_manager.set(self.request_handler, self) 

# 初始化需要一个用于 session 加密的 secret, memcache 地址, session 的过期时间 
def __init__(self, secret, memcached_address, session_timeout): 
  self.secret = secret 
  self.memcached_address = memcached_address 
  self.session_timeout = session_timeout 

# 该方法用 session_id 从 memcache 中取出数据 
def _fetch(self, session_id): 
  try: 
    # 连接 memcache 服务器 
    mc = memcache.Client(self.memcached_address, debug=0) 
    # 获取数据 
    session_data = raw_data = mc.get(session_id) 
    if raw_data != None: 
      # 为了重新刷新 timeout 
      mc.replace(session_id, raw_data, self.session_timeout, 0) 
      # 反序列化 
      session_data = pickle.loads(raw_data) 
    # 如果拿到的数据是字典形式，才进行返回 
    if type(session_data) == type({}): 
      return session_data 
    else: 
      return {} 
  except IOError: 
    return {} 

def get(self, request_handler = None): 
 
  # 获取对应的 session_id 和 hmac_key 
  if (request_handler == None): 
    session_id = None 
    hmac_key = None 
  else: 
    # session 的基础还是靠 cookie 
    session_id = request_handler.get_secure_cookie("session_id") 
    hmac_key = request_handler.get_secure_cookie("verification") 
 
  # session_id 不存在的时候则生成一个新的 session_id 和 hmac_key 
  if session_id == None: 
    session_exists = False 
    session_id = self._generate_id() 
    hmac_key = self._generate_hmac(session_id) 
  else: 
    session_exists = True 
 
  # 检查 hmac_key 
  check_hmac = self._generate_hmac(session_id) 
  # 不通过则抛出异常 
  if hmac_key != check_hmac: 
    raise InvalidSessionException() 
 
  # 新建 SessionData 对象 
  session = SessionData(session_id, hmac_key) 
 
  if session_exists: 
    # 通过 _fetch 方法获取 memcache 中该 session 的所有数据 
    session_data = self._fetch(session_id) 
    for key, data in session_data.iteritems(): 
      session[key] = data 
 
  return session 

# 设置新的 session,需要设置 handler 的 cookie 和 memcache 客户端 
def set(self, request_handler, session): 
  # 设置浏览器的 cookie 
  request_handler.set_secure_cookie("session_id", session.session_id) 
  request_handler.set_secure_cookie("verification", session.hmac_key) 
  # 用 pickle 进行序列化 
  session_data = pickle.dumps(dict(session.items()), pickle.HIGHEST_PROTOCOL) 
  # 连接 memcache 服务器 
  mc = memcache.Client(self.memcached_address, debug=0) 
  # 写入 memcache 
  mc.set(session.session_id, session_data, self.session_timeout, 0) 

# 生成 session_id 
def _generate_id(self): 
  new_id = hashlib.sha256(self.secret + str(uuid.uuid4())) 
  return new_id.hexdigest() 
 
# 生成 hmac_key 
def _generate_hmac(self, session_id): 
  return hmac.new(session_id, self.secret, hashlib.sha256).hexdigest()