输入用户名和密码后，服务器究竟凭什么在下一次访问中认出同一位用户，又如何在退出后立即拒绝个人页请求？本文以 Django 会话认证为例；读完后你能检查密码是否只经哈希处理、响应是否建立 Cookie 会话，以及退出后受保护页面是否无法访问。文章目录同一浏览器在登录前后看到不同的个人页核心概念与工作机制最小示例验证结果常见误区与适用边界总结同一浏览器在登录前后看到不同的个人页用户访问个人页时，页面是否可见不应由浏览器自己决定，而应由服务器根据当前请求携带的会话信息判断。下面的请求序列表述的是本文示例运行后应出现的行为。请求阶段请求预期响应页面行为登录前GET /profile/，不带有效会话 Cookie302 Found，Location指向登录页浏览器跳转到登录页，不能读取个人信息登录后POST /login/，凭据正确且携带 CSRF Token302 Found，响应通常含新的sessionidCookie浏览器随后访问个人页并显示当前用户名退出后POST /logout/，携带原会话 Cookie 与 CSRF Token302 Found，会话被清除再访问个人页会再次跳转到登录页