TLS 1.3 安全機制與 Django HTTPS 設定實務

TLS 1.3 加密通訊協定，強化了網路安全，其核心機制包含更安全的加密演算法與更有效率的連線確認程式，有效防止中間人攻擊。本文將介紹如何在 Django 專案中設定 HTTPS，使用 Gunicorn 作為 WSGI 伺服器，並搭配自簽憑證完成設定。同時，文章也涵蓋了憑證安裝、HTTPS 重定向設定、HSTS 設定等安全性強化措施，並說明如何使用 requests 套件進行 HTTPS 連線。此外，文章也深入探討了 HTTP Cookie 和 Session 管理，以及如何在資料函式庫連線和電子郵件傳輸中應用 TLS 加密，確保資料傳輸的安全性。最後，文章也討論了 Django 的 Session 機制，包括 Session 的工作原理、序列化器和儲存引擎等。

6.2 中間人攻擊

中間人攻擊（Man-in-the-middle，MITM）是一種經典的攻擊方式。首先，攻擊者必須在通訊的兩方之間插入自己，可能是在網路的某個節點或是某個特定的網段。然後，攻擊者可以採取被動或主動的策略，視情況而定。

假設有一個攻擊者Eva，她獲得了無線網路的存取權，並且可以擷取Bob和Alice之間的通訊。Eva可以偷偷地觀察每個請求和回應，從而獲得Bob和Alice的敏感資訊，如密碼和個人資料。

然而，TLS（Transport Layer Security）可以保護Bob和Alice的通訊不被Eva攔截。雖然Eva可以擷取通訊，但由於TLS的加密，Eva無法解讀其中的內容。

現在，讓我們來看看另一種攻擊方式。攻擊者Mallory獲得了網路中間節點的存取權，因此她可以修改請求和回應。Mallory可以假裝成Bob或Alice，從而進行主動的中間人攻擊。這種攻擊方式可以讓Mallory竊取敏感資訊，並且修改通訊內容。

幸好，TLS可以防止Mallory假裝成Bob或Alice。由於TLS提供了身份驗證機制，Bob和Alice可以確保自己正在與真正的對方進行通訊。

6.3 連線確認程式

TLS是一種客戶端-伺服器端的協定，每一次連線都需要進行連線確認程式（handshake）。這個程式涉及多個步驟，包括協定加密演算法、交換金鑰、以及伺服器身份驗證。

在TLS 1.3中，連線確認程式更加快速、安全、簡單。首先，客戶端會傳送一個「hello」訊息給伺服器，然後伺服器會回應一個包含其支援的加密演算法和金鑰交換引數的訊息。客戶端和伺服器之間會進行多輪的通訊，以確定最終使用的加密演算法和金鑰。

連線確認程式主要涉及三個步驟：

加密演算法協定：客戶端和伺服器之間需要協定使用哪些加密演算法。
金鑰交換：客戶端和伺服器需要交換金鑰，以便進行加密通訊。
伺服器身份驗證：客戶端需要驗證伺服器的身份，以確保自己正在與真正的伺服器進行通訊。

在TLS 1.3中，定義了五種不同的加密演算法套件（cipher suite），每種套件都包含特定的加密演算法和雜湊函式。這些套件包括：

TLS_AES_128_CCM_8_SHA256
TLS_AES_128_CCM_SHA256
TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384

這些加密演算法套件提供了強大的安全保障，保護了通訊的機密性和完整性。

TLS 1.3 的安全機制

TLS 1.3 是一種用於網際網路安全通訊的加密協定。它提供了多種安全機制，以確保資料的機密性、完整性和真實性。

加密演算法

TLS 1.3 支援多種加密演算法，包括 AES、ChaCha20 等。這些演算法可以提供高強度的加密，保護資料不被未經授權的第三方存取。

協商過程

在 TLS 1.3 中，客戶端和伺服器之間會進行一個協商過程，以確定使用哪種加密演算法和引數。這個過程稱為「握手」。

Diffie-Hellman 金鑰交換

TLS 1.3 使用 Diffie-Hellman 金鑰交換演算法，允許客戶端和伺服器在不安全的通道中建立一個分享的秘密金鑰。這個金鑰用於加密和解密資料。

數字簽章

TLS 1.3 支援數字簽章，允許伺服器證明其身份和資料的真實性。

憑證驗證

TLS 1.3 支援憑證驗證，允許客戶端驗證伺服器的身份和憑證的有效性。

TLS 1.3 的優點

TLS 1.3 有多種優點，包括：

更高的安全性：TLS 1.3 支援更強大的加密演算法和金鑰交換演算法，提供更高的安全性。
更好的效能：TLS 1.3 的握手過程比以前的版本更快，減少了連線時間。
更好的相容性：TLS 1.3 支援更多的加密演算法和引數，提供更好的相容性。

什麼是數字證書？

數字證書是一種電子檔案，能夠證明一個實體（如個人、組織或伺服器）的身份。它包含了公開金鑰、實體的詳細資訊（如名稱、地址等）以及證書的有效期等。

數字證書的結構

數字證書通常包含以下幾個部分：

主體（Subject）：證明檔案的主人是誰，包括其名稱、地址等詳細資訊。
發行者（Issuer）：指出誰釋出了這個證書，通常是一個可靠的第三方機構。
公開金鑰（Public Key）：主體的公開金鑰，用於加密和解密資料。
有效期（Validity）：證明檔案的開始和結束時間，超過這個時間範圍，證書就不再有效。
簽名（Signature）：由發行者使用其私人金鑰生成的簽名，用於驗證證書的真實性。

數字證書的作用

數字證書在網路安全中扮演著重要角色，主要用於：

身份驗證：確保連線到伺服器或客戶端的實體是真實的。
加密：保護資料在傳輸過程中的安全，防止被竊聽或篡改。
授權：根據證書內容授予或拒絕存取某些資源的許可權。

申請和使用數字證書

申請數字證書通常需要向一個可靠的證書頒發機構（Certificate Authority, CA）提出申請，提供必要的身份證明檔案。CA會審核申請人的身份，並發放相應的數字證書。使用數字證書時，需要將其安裝在相應的裝置或軟體中，以便在網路通訊中進行身份驗證和加密。

常見的數字證書型別

SSL/TLS證書：用於保護網站和瀏覽器之間的通訊安全。
程式碼簽署證書：用於驗證軟體開發者身份，確保軟體的真實性和完整性。
電子郵件證書：用於保護電子郵件通訊的安全和真實性。

瞭解TLS協定的過程

TLS（Transport Layer Security）是一種用於網際網路通訊的安全協定，負責保護資料傳輸的安全性。下面是TLS協定的過程：

客戶端發起連線: 當客戶端（例如瀏覽器）想要連線到伺服器時，會傳送一個連線請求給伺服器。
伺服器回應: 伺服器收到連線請求後，會回應一個TLS協定版本號和一個隨機數。
客戶端驗證: 客戶端收到伺服器的回應後，會驗證伺服器的TLS協定版本號和隨機數。
金鑰交換: 客戶端和伺服器之間會進行金鑰交換，使用公鑰加密演算法（例如RSA）交換分享金鑰。
會話金鑰: 客戶端和伺服器使用分享金鑰建立會話金鑰，用於加密和解密資料。
資料傳輸: 客戶端和伺服器使用會話金鑰加密和解密資料，進行安全的資料傳輸。
連線關閉: 當連線結束時，客戶端和伺服器會關閉TLS協定連線。

使用Django建立HTTPS連線

Django是一個Python的網頁框架，可以用於建立HTTPS連線。下面是使用Django建立HTTPS連線的步驟：

安裝Django: 安裝Django框架和相關套件。
建立Django專案: 使用Django命令建立一個新的專案。
設定HTTPS: 在Django專案的設定檔中設定HTTPS相關引數。
生成SSL憑證: 生成SSL憑證和私鑰，用於HTTPS連線。
設定Gunicorn: 設定Gunicorn作為WSGI伺服器，用於處理HTTPS連線。
啟動Django專案: 啟動Django專案，使用Gunicorn作為WSGI伺服器。

使用Gunicorn建立HTTPS連線

Gunicorn是一個Python的WSGI伺服器，可以用於建立HTTPS連線。下面是使用Gunicorn建立HTTPS連線的步驟：

安裝Gunicorn: 安裝Gunicorn套件。
設定Gunicorn: 設定Gunicorn相關引數，包括HTTPS連線設定。
生成SSL憑證: 生成SSL憑證和私鑰，用於HTTPS連線。
啟動Gunicorn: 啟動Gunicorn，使用HTTPS連線設定。

Django與Gunicorn的HTTPS設定

在使用Django開發網站時，為了確保資料傳輸的安全性，需要設定HTTPS協定。以下將介紹如何使用Gunicorn和自簽憑證實作Django網站的HTTPS設定。

安裝Gunicorn

首先，需要安裝Gunicorn，使用以下命令：

pipenv install gunicorn

生成自簽憑證

接下來，需要生成自簽憑證，使用以下命令：

openssl ecparam -name prime256v1 -genkey -noout -out private_key.pem
openssl req -x509 -nodes -days 3650 -key private_key.pem -out certificate.pem

這些命令會生成一對私鑰和自簽憑證，有效期為10年。

設定Gunicorn

然後，需要設定Gunicorn使用自簽憑證，使用以下命令：

gunicorn alice.wsgi --keyfile private_key.pem --certfile certificate.pem

這個命令會啟動Gunicorn，並使用自簽憑證建立HTTPS連線。

新增憑證到信任列表

由於自簽憑證不是由公認的憑證授權機構簽發，因此需要手動新增憑證到信任列表。具體步驟取決於作業系統和瀏覽器，不過以下是 macOS 的新增憑證步驟：

開啟 Keychain Access。
選擇 “System” 鍵匙圈。
點選 “Certificates” 分類別。
匯入生成的憑證檔案（certificate.pem）。
對憑證進行信任設定。

測試HTTPS連線

完成以上步驟後，可以測試HTTPS連線是否正常工作。開啟瀏覽器，輸入網站的HTTPS地址，如果沒有出現安全警告，則表示設定成功。

Mermaid 圖表：Django與Gunicorn的HTTPS設定流程

  flowchart TD
    A[安裝Gunicorn] --> B[生成自簽憑證]
    B --> C[設定Gunicorn]
    C --> D[新增憑證到信任列表]
    D --> E[測試HTTPS連線]

圖表翻譯：

上述Mermaid圖表描述了Django與Gunicorn的HTTPS設定流程。首先，需要安裝Gunicorn，然後生成自簽憑證。接下來，需要設定Gunicorn使用自簽憑證，並新增憑證到信任列表。最後，可以測試HTTPS連線是否正常工作。

使用Keychain Access安裝憑證

啟動Keychain Access應用程式。
將憑證檔案拖曳到憑證區段（Certificates）。
雙擊憑證以開啟其詳細資訊。
展開信任區段（Trust）。
在「使用此憑證時」（When using this certificate）下拉選單中，選擇「始終信任」（Always Trust）。

啟用HTTPS

啟動瀏覽器和伺服器。
確保HTTPS連線已成功建立。

增強安全性

啟用Strict-Transport-Security（HSTS）：在伺服器回應中加入HSTS標頭，以強制瀏覽器僅使用HTTPS連線。
- 例如：Strict-Transport-Security: max-age=3600
設定SECURE_HSTS_SECONDS：設定Django的SECURE_HSTS_SECONDS引數，以指定HSTS的最大有效期。
設定SECURE_HSTS_INCLUDE_SUBDOMAINS：如果需要將HSTS套用到所有子網域名稱，設定SECURE_HSTS_INCLUDE_SUBDOMAINS為True。
啟用HTTPS重定向：設定Django的SECURE_SSL_REDIRECT為True，以將HTTP請求重定向到HTTPS。

使用requests套件進行HTTPS連線

安裝requests套件：pipenv install requests
使用requests進行HTTPS連線：requests.get('https://example.com')
停用憑證驗證（不建議）：可以透過設定verify=False來停用憑證驗證，但這會降低安全性。
設定憑證：可以透過設定cert引數來指定使用者端憑證和私鑰。

requests套件的TLS設定

自動啟用TLS：requests套件會自動啟用TLS，如果URL以"https"開頭。
停用憑證驗證：可以透過設定verify=False來停用憑證驗證。
設定憑證：可以透過設定cert引數來指定使用者端憑證和私鑰。

TLS 在資料函式庫連線和電子郵件傳輸中的應用

資料函式庫連線的安全性

在連線資料函式庫時，使用 TLS（Transport Layer Security）協定可以確保資料傳輸的安全性。TLS 可以保護資料不被竊聽和篡改，同時也可以驗證伺服器的身份。

Django 中的資料函式庫連線設定

在 Django 中，資料函式庫連線設定可以在 DATABASES 設定中進行組態。例如，以下是使用 PostgreSQL 資料函式庫的設定範例：

DATABASES = {
    'default': {
        'ENGINE': 'django.db.backends.postgresql',
        'NAME': 'db_name',
        'HOST': 'db_hostname',
        'PORT': 5432,
        'USER': 'db_user',
        'PASSWORD': 'db_password',
        'OPTIONS': {
            'sslmode': 'verify-full',
        },
    }
}

在這個範例中，sslmode 選項被設定為 verify-full，這意味著 TLS 連線將被使用，並且伺服器的身份將被驗證。

電子郵件傳輸的安全性

電子郵件傳輸也可以使用 TLS 協定來確保安全性。TLS 可以保護電子郵件內容不被竊聽和篡改，同時也可以驗證郵件伺服器的身份。

Django 中的電子郵件傳輸設定

在 Django 中，電子郵件傳輸設定可以在 EMAIL 設定中進行組態。例如，以下是使用 SMTP 伺服器的設定範例：

EMAIL_HOST = 'smtp.example.com'
EMAIL_PORT = 587
EMAIL_USE_TLS = True
EMAIL_HOST_USER = 'your_email@example.com'
EMAIL_HOST_PASSWORD = 'your_password'

在這個範例中，EMAIL_USE_TLS 選項被設定為 True，這意味著 TLS 連線將被使用。

Mermaid 圖表：TLS 連線過程

  sequenceDiagram
    participant Client
    participant Server
    Note over Client,Server: TLS 連線過程
    Client->>Server: 客戶端發起連線請求
    Server->>Client: 伺服器回應並提供憑證
    Client->>Server: 客戶端驗證憑證並建立TLS連線
    Server->>Client: 伺服器確認TLS連線並開始資料傳輸

圖表翻譯：TLS 連線過程

TLS 連線過程是指客戶端和伺服器之間建立安全連線的過程。客戶端首先發起連線請求，伺服器回應並提供憑證。客戶端驗證憑證並建立TLS連線，伺服器確認TLS連線並開始資料傳輸。這個過程可以確保資料傳輸的安全性和完整性。

HTTP 會話是一種機制，允許 Web 伺服器識別並追蹤使用者的請求。當使用者第一次存取一個 Web 伺服器時，伺服器會為使用者建立一個唯一的會話 ID，並將其儲存於伺服器端。同時，伺服器會將這個會話 ID 傳回給使用者的瀏覽器，瀏覽器則會將其儲存於本地。

在後續的請求中，瀏覽器會將會話 ID 附加於請求中，伺服器因此可以識別出這個請求是由哪個使用者發出的。這樣，伺服器就可以根據使用者的會話 ID 提供個人化的服務。

Cookie 是瀏覽器儲存的小型文字檔案，用於儲存會話 ID 和其他相關資料。當使用者第一次存取一個 Web 伺服器時，伺服器會將會話 ID 和其他相關資料儲存於 Cookie 中，並將其傳回給瀏覽器。瀏覽器則會將這個 Cookie 儲存於本地。

在後續的請求中，瀏覽器會將 Cookie 附加於請求中，伺服器因此可以識別出這個請求是由哪個使用者發出的。這樣，伺服器就可以根據使用者的 Cookie 提供個人化的服務。

Django 中的會話管理

Django 提供了一個內建的會話管理系統，允許開發者輕鬆地管理使用者的會話。Django 的會話管理系統使用 Cookie 儲存會話 ID 和其他相關資料。

在 Django 中，可以使用 request.session 物件來存取和管理使用者的會話資料。例如，可以使用 request.session['key'] 來存取會話中的某個值，也可以使用 request.session.set('key', 'value') 來設定某個值。

安全性考量

會話管理中有一個重要的安全性考量，就是確保會話 ID 和其他敏感資料不被竊取或竄改。為了達到這個目的，應該使用 HTTPS 協定來加密傳輸中的資料，並且應該正確地設定 Cookie 的安全性屬性，例如 Secure 和 HttpOnly。

此外，還應該注意到，會話管理中可能存在的安全性漏洞，例如會話固定攻擊（Session Fixation）和跨站指令碼攻擊（Cross-Site Scripting, XSS）。為了防止這些攻擊，應該正確地設定會話管理系統，並且應該實施適當的安全性措施，例如驗證使用者輸入的資料和使用安全的隨機數生成器來產生會話 ID。

內容解密：

在 Django 中，可以使用 django.contrib.sessions 模組來管理使用者的會話。這個模組提供了一個 Session 類別，可以用來存取和管理使用者的會話資料。

例如，可以使用以下程式碼來存取和管理使用者的會話資料：

from django.contrib.sessions.models import Session

# 存取使用者的會話資料
session = Session.objects.get(session_key='session_id')

# 設定某個值
session['key'] = 'value'

# 存取某個值
value = session['key']

圖表翻譯：

下圖展示了 Django 中的會話管理流程：

  sequenceDiagram
    participant 使用者
    participant 瀏覽器
    participant 伺服器
    participant Session

    使用者->>瀏覽器: 請求
    瀏覽器->>伺服器: 請求
    伺服器->>Session: 建立會話
    Session->>瀏覽器: 回傳會話 ID
    瀏覽器->>使用者: 顯示頁面
    使用者->>瀏覽器: 後續請求
    瀏覽器->>伺服器: 請求（包含會話 ID）
    伺服器->>Session: 驗證會話 ID
    Session->>伺服器: 回傳會話資料
    伺服器->>瀏覽器: 回傳頁面

這個圖表展示了使用者、瀏覽器、伺服器和 Session 之間的互動流程。當使用者第一次請求時，伺服器建立一個新的會話並回傳會話 ID 給瀏覽器。瀏覽器然後將這個會話 ID 附加於後續的請求中，伺服器因此可以識別出這個請求是由哪個使用者發出的。

HTTP Cookie 是一種小型文字字串，儲存在客戶端瀏覽器中，由伺服器傳送。Cookie 可以包含各種資訊，如使用者身份、偏好等。下面我們來討論 Cookie 的一些重要屬性和安全性問題。

7.2.1 Secure 屬性

Secure 屬性可以防止 Cookie 被髮送到非安全的 HTTP 連線中，從而防止 Cookie 被竊取。Django 中可以透過 SESSION_COOKIE_SECURE 設定來開啟 Secure 屬性。

7.2.2 Domain 屬性

Domain 屬性指定了 Cookie 的作用域，即哪些網域名稱可以存取該 Cookie。Django 中可以透過 SESSION_COOKIE_DOMAIN 設定來組態 Domain 屬性。

7.2.3 Max-Age 屬性

Max-Age 屬性指定了 Cookie 的生存時間，即 Cookie 多久後過期。Django 中可以透過 SESSION_COOKIE_AGE 設定來組態 Max-Age 屬性。

7.3 Session 引數

Session 引數是儲存在伺服器端的資料，用於記錄使用者的狀態和偏好。Django 提供了一個簡單的 Session 介面，允許開發者輕鬆地儲存和檢索 Session 引數。

示例程式碼

# 儲存 Session 引數
request.session['name'] = 'Alice'

# 檢索 Session 引數
name = request.session.get('name', 'Bob')

安全性考慮

應該使用 HTTPS 連線來傳輸 Cookie，以防止 Cookie 被竊取。
應該設定 Secure 屬性來防止 Cookie 被髮送到非安全的 HTTP 連線中。
應該設定 Domain 屬性來限制 Cookie 的作用域。
應該設定 Max-Age 屬性來限制 Cookie 的生存時間。

本文討論了 HTTP Cookie 和 Session 引數的管理，包括 Secure 屬性、Domain 屬性、Max-Age 屬性以及 Session 引數的儲存和檢索。同時，也討論了一些安全性考慮，以幫助開發者保護使用者的資料。

Django 的 Session 機制

Django 的 Session 機制是一種用於儲存使用者資料的技術。它可以讓開發者儲存使用者的資料，例如使用者名稱、偏好設定等。

Session 的工作原理

當使用者傳送請求到 Django 的應用程式時，Django 會自動建立一個 Session 物件，並將其儲存到資料函式庫中。Session 物件包含了使用者的資料，例如使用者名稱、偏好設定等。

Django 提供了兩種 Session 序列化器（Serializer）：JSONSerializer 和 PickleSerializer。JSONSerializer 將 Session 資料序列化為 JSON 格式，而 PickleSerializer 將 Session 資料序列化為 Python 的 Pickle 格式。

JSONSerializer

JSONSerializer 是 Django 的預設 Session 序列化器。它將 Session 資料序列化為 JSON 格式，然後儲存到資料函式庫中。JSONSerializer 只能序列化基本的資料型別，例如整數、字串、字典等。

PickleSerializer

PickleSerializer 是另一種 Session 序列化器，它將 Session 資料序列化為 Python 的 Pickle 格式。PickleSerializer 可以序列化任何 Python 物件，包括自定義類別的例項。

但是，PickleSerializer 有一個安全性問題：它可以執行任意的 Python 程式碼，這使得它容易受到攻擊。因此，Django 官方檔案中強烈建議不要使用 PickleSerializer，除非你完全確定 Session 資料的安全性。

Session 的儲存

Django 提供了五種 Session 引擎（Engine）來儲存 Session 資料：

django.contrib.sessions.backends.db: 這是 Django 的預設 Session 引擎，它將 Session 資料儲存到資料函式庫中。
django.contrib.sessions.backends.file: 這個引擎將 Session 資料儲存到檔案中。
django.contrib.sessions.backends.cache: 這個引擎將 Session 資料儲存到快取中。
django.contrib.sessions.backends.cached_db: 這個引擎將 Session 資料儲存到快取和資料函式庫中。
django.contrib.sessions.backends.signed_cookies: 這個引擎將 Session 資料儲存到 cookie 中。

從技術架構視角來看，TLS 1.3 作為網際網路安全通訊的基本，其加密套件、握手流程和證書驗證機制，有效提升了資料傳輸的安全性，並降低了中間人攻擊的風險。分析其核心技術，像是更精簡的握手流程和更強大的加密演算法，不僅提升了連線效率，也強化了安全防護。然而，TLS 的佈署和維護仍存在挑戰，例如憑證管理和伺服器組態的複雜性。從實務落地的角度，正確設定 HTTPS，包含憑證安裝、伺服器組態和 HSTS 啟用，對於保障網站安全至關重要。展望未來，隨著量子運算的發展，現有的加密演算法可能面臨挑戰，因此持續關注後量子密碼學的發展，並及早規劃遷移策略，將是確保 TLS 長期安全性的關鍵。玄貓認為，TLS 1.3 已成為現代網路安全不可或缺的技術，值得所有網路服務採用並持續精進其應用。

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。

TLS 1.3 安全機制與 Django HTTPS 設定實務

6.2 中間人攻擊

6.3 連線確認程式

TLS 1.3 的安全機制

加密演算法

協商過程

Diffie-Hellman 金鑰交換

數字簽章

憑證驗證

TLS 1.3 的優點

什麼是數字證書？

數字證書的結構

數字證書的作用

申請和使用數字證書

常見的數字證書型別

瞭解TLS協定的過程

使用Django建立HTTPS連線

使用Gunicorn建立HTTPS連線

Django與Gunicorn的HTTPS設定

安裝Gunicorn

生成自簽憑證

設定Gunicorn

新增憑證到信任列表

測試HTTPS連線

Mermaid 圖表：Django與Gunicorn的HTTPS設定流程

圖表翻譯：

使用Keychain Access安裝憑證

啟用HTTPS

增強安全性

使用requests套件進行HTTPS連線

requests套件的TLS設定

TLS 在資料函式庫連線和電子郵件傳輸中的應用

資料函式庫連線的安全性

Django 中的資料函式庫連線設定

電子郵件傳輸的安全性

Django 中的電子郵件傳輸設定

Mermaid 圖表：TLS 連線過程

圖表翻譯：TLS 連線過程

HTTP 會話與 Cookie

Cookie

Django 中的會話管理

安全性考量

內容解密：

圖表翻譯：

HTTP Cookie 和 Session 管理

7.2 HTTP Cookie

7.2.1 Secure 屬性

7.2.2 Domain 屬性

7.2.3 Max-Age 屬性

7.3 Session 引數

示例程式碼

安全性考慮

Django 的 Session 機制

Session 的工作原理

JSONSerializer

PickleSerializer

Session 的儲存

玄貓