drf框架中jwt认证,以及自定义jwt认证

0909自我总结

drf框架中jwt

一.模块的安装

官方:http://getblimp.github.io/django-rest-framework-jwt/

他是个第三方的开源项目

安装:pip install djangorestframework-jwt

使用自带设定好的jwt

from django.urls import path
from rest_framework_jwt.views import obtain_jwt_token
urlpatterns = [
    path('login/', obtain_jwt_token),
]
'''
path('login/', obtain_jwt_token)其实相当于path('login/', ObtainJSONWebToken.as_view())
因为我们之间进源码可以看到
obtain_jwt_token = ObtainJSONWebToken.as_view()     #获得
refresh_jwt_token = RefreshJSONWebToken.as_view()   #刷新
verify_jwt_token = VerifyJSONWebToken.as_view()     #验证
'''

测试接口:post请求

"""
postman发生post请求

接口:http://api.luffy.cn:8000/user/login/

数据:
{
    "username":"admin",
    "password":"admin"
}
"""

二.工作原理

"""
jwt:json web tokens 采用json格式在web上传输的 认证字符串

jwt字符串:头.载荷.签名

头:公司基本信息、项目组基本信息、常规加密算法名
载荷:用户信息、过期时间
签名:头、载荷、秘钥

{头信息字典,采用base64加密算法}.{载荷信息字典,采用base64加密算法}.{头加密串、载荷加密串、服务器秘钥,采用hs256加密算法}

base64是可逆加密
hash256是不可逆加密
我们一般只会将账号信息,过期时间放载荷里面,一般把密码什么重要信息丢签名里面
"""

三.三大认证

session认证

系统自带的

rest_framework.authentication.SessionAuthentication
ajax请求通过认证:
cookie中要携带 sessionid、csrftoken,请求头中要携带 x-csrftoken

jwt认证

第三方

与session认证区别他不用再去查sessionid表,只要查user表就可以了

rest_framework_jwt.authentication.JSONWebTokenAuthentication
ajax请求通过认证:
请求头中要携带 authorization,值为 jwt空格token

基于jwt、其它

自定义

1)自定义认证类,继承BaseAuthentication(或其子类),重写authenticate
2)authenticate中完成

  • 拿到认证标识 auth
  • 反解析出用户 user
  • 前两步操作失败 返回None => 游客
  • 前两步操作成功 返回user,auth => 登录用户

    :如果在某个分支抛出异常,直接定义失败 => 非法用户

四.自定义认证,基于jwt

其实就是在jwt的源码基础上进行相关的修改

最简单的修改

from rest_framework.exceptions import AuthenticationFailed
import jwt
from rest_framework_jwt.authentication import BaseJSONWebTokenAuthentication
from rest_framework_jwt.authentication import jwt_decode_handler

from rest_framework.authentication import BaseAuthentication
def authenticate(self, request):
    auth = 从request中得到
    user = 从auth中得到
    if not user:
        return None
    return user, auth

如果我们自定制了一个权限我们进行全局设置必须自己在setting把这个函数加进去

'DEFAULT_AUTHENTICATION_CLASSES': [
    '我们自定义认证函数的对象',
],

我们做局部设置就在我们自定义的类中添加

authentication_classes = [我们自定义认证函数的对象]

五.自定义权限相关

也是改源码

"""
系统:
1)AllowAny:允许所有用户,校验方法直接返回True
2)IsAuthenticated:只允许登录用户
    必须request.user和request.user.is_authenticated都通过
3)IsAuthenticatedOrReadOnly:游客只读,登录用户无限制
    get、option、head 请求无限制
    前台请求必须校验 request.user和request.user.is_authenticated
4)IsAdminUser:是否是后台用户
    校验 request.user和request.user.is_staff    is_staff(可以登录后台管理系统的用户)

自定义:基于auth的Group与Permission表
1)自定义权限类,继承BasePermission,重写has_permission
2)has_permission中完成
    拿到登录用户 user <= request.user
    校验user的分组或是权限
    前两步操作失败 返回False => 无权限
    前两步操作成功 返回True => 有权限
"""
#根据用户分组信息设置相关权限
from rest_framework.permissions import BasePermission

class AdminPermission(BasePermission):
    # 继承BasePermission,重写has_permission
    def has_permission(self, request, view):
        # 有权限,返回True
        # 无权限,返回False
        user = request.user
        if not user:
            return False
        # 用户是 管理员 分组 (管理员分组是Group表中的一条自定义记录)
        if not user.groups.filter(name='管理员'):
            return False
        # 登录的用户必须是自定义管理员分组成员
        return True

如果我们自定制了一个权限全局设置我们必须自己在setting把这个函数加进去

'DEFAULT_PERMISSION_CLASSES': [
    '我们自定义权限函数的路径',
],

我们做局部设置就在我们自定义的类中添加

permission_classes = [我们自定义认证函数的对象]

六.自定义访问次数设置

"""
系统:
1)AnonRateThrottle:对同一IP游客的限制
2)UserRateThrottle:对同一IP登录用户的限制
必须在settings.py中
'DEFAULT_THROTTLE_RATES': {
    'user': '10/min',  # 登录的用户一分钟可以访问10次
    'anon': '3/min',  # 游客一分钟可以访问3次
}
在视图类中:
class TempAPIView(APIView):
    ...
    throttle_classes = [AnonRateThrottle, UserRateThrottle]

自定义:基于auth的Group与Permission表
1)自定义频率类,继承SimpleRateThrottle,重写get_cache_key,明确scope
    SimpleRateThrottle已经帮我们实现了 allow_request、wait
2)scope与settings.py的DEFAULT_THROTTLE_RATES配合使用
3)get_cache_key中完成
    拿到限制信息 ident <= request中获取
    没有限制信息 返回None => 不限制
    有限制信息 返回限制信息字符串 => 有限制
"""

自定义频率类:一分钟一个手机号只允许访问一次接口

from rest_framework.throttling import SimpleRateThrottle

class ThreeMinRateThrottle(SimpleRateThrottle):
    scope = 'sms'
    def get_cache_key(self, request, view):
        # 对手机号频率限制
        ident = request.data.get('mobile')
        if not ident:  # 为发现限制条件,返回None代表不进行频率限制
            return None
        return self.cache_format % {
            'scope': self.scope,
            'ident': ident
        }
# settings.py
'DEFAULT_THROTTLE_RATES': {
    'user': '10/min',  # 登录的用户一分钟可以访问10次 如果是
    'anon': '3/min',  # 游客一分钟可以访问3次
    'sms': '1/min',  #是我们自定义的,默认只提供user以及anon
}
在视图层
class UserListAPIView(ListAPIView):
    throttle_classes = [我们自定义的方法路径]

源码里关于时间的一段代码

    def parse_rate(self, rate):
        """
        Given the request rate string, return a two tuple of:
        <allowed number of requests>, <period of time in seconds>
        """
        if rate is None:
            return (None, None)
        num, period = rate.split('/')
        num_requests = int(num)
        duration = {'s': 1, 'm': 60, 'h': 3600, 'd': 86400}[period[0]]
        return (num_requests, duration)

这里我们可以看出来是先/进行字符串切分然后取第一个字母所有我们这边不一定用min代表分,只要开头是m即可

七.全局设置有效时间以及jwt的名称

import datetime
JWT_AUTH = {
    'JWT_EXPIRATION_DELTA': datetime.timedelta(seconds=30000),#d到期时间
    'JWT_AUTH_HEADER_PREFIX': 'TOKEN',  #我们传参数的时候开头自定义内容,注意点这里必须与下面的token中以宫格隔开
}

源码中为

USER_SETTINGS = getattr(settings, 'JWT_AUTH', None)  #他是通过JWT_AUTH这个名字
......
'JWT_EXPIRATION_DELTA': datetime.timedelta(seconds=300),
'JWT_AUTH_HEADER_PREFIX': 'JWT',  系统默认以jwt开头

原文地址:https://www.cnblogs.com/pythonywy/p/11494174.html

时间: 2024-10-03 11:53:53

drf框架中jwt认证,以及自定义jwt认证的相关文章

django drf框架中的user验证以及JWT拓展的介绍

登录注册是几乎所有网站都需要去做的接口,而说到登录,自然也就涉及到验证以及用户登录状态保存,最近用DRF在做的一个关于网上商城的项目中,引入了一个拓展DRF JWT,专门用于做验证和用户状态保存.这个拓展比传统的CSRF更加安全.先来介绍一下JWT认证机制吧! Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准((RFC 7519).该token被设计为紧凑且安全的,特别适用于分布式站点的单点登录(SSO)场景.JWT的声明一般被用来在身

drf框架中分页组件

0922自我总结 drf框架中分页组件 普通分页(最常用) 自定制分页类 pagination.py from rest_framework.pagination import PageNumberPagination # 普通分页 class CarPageNumberPagination(PageNumberPagination): # 默认一页的条数 page_size = 3 # 用户可以自定义选择一页的条数,但最多显示5条 page_size_query_param = 'page_s

DRF框架中分页功能接口

目录 DRF框架中分页功能接口 DRF框架中分页功能接口 一.在框架中提供来三个类来实现分页功能,PageNumberPagination.LimitOffsetPagination.CursorPagination PageNumberPagination是页码分页,这个类可以进行全局设置 LimitOffsetPagination按照偏移量来进行分页 两个类都可以实现,在程序的具体设计上会有一部分的差别,但是差别不大. CursorPagination加密分页功能 二.使用PageNumbe

DRF框架中其他功能:认证、权限、限流

定义视图时,只要视图继承了APIView或其子类,就可以使用DRF框架的认证.权限和限流功能. 当客户端访问API接口时,DRF框架在调用对应的API接口之前,会依次进行认证.权限和限流的操作. 认证Authentication 权限Permissions 限流Throttling 原文地址:https://www.cnblogs.com/oklizz/p/11290731.html

joomla T3框架中模板分离与自定义(local文件夹 实战研究)

1.重写布局配置(kjxxzx-corporate-home.ini) 模板商purity_iii提供的布局配置文件的路径:/templates/purity_iii/etc/layouts 自定义布局时,用户布局配置文件应放在:/templates/purity_iii/local/etc/layouts 2. 重写布局文件(kjxxzx-corporate-home.php) 模板商提供的布局文件的路径:/templates/purity_iii/tpls 如果用户想重写布局文件或区块文件,

joomla T3框架中模板分离与自定义(local文件夹)

问题:辛苦做的模板,在框架升级后,莫名其妙的就不见了?原因是,在原有默认的模板修改内容,升级到新版本时,修改的内容被新内容覆盖更新掉了. 1. 怎么办? 模板内容被覆盖的问题,可以通过将用户的设置.模板与默认模板分离出来,具体方法如下: 在模板中,有个特殊的文件夹"local",将用户所有的布局配置信息.布局文件放到这个文件夹中. 2.文件的优先级 local文件夹:/templates/{template-name}/local template文件夹:/templates/{tem

DRF框架中csrf异常

一.报错信息 "detail": "CSRF Failed: CSRF cookie not set." 二.解决办法 方法一: 在配置文件中配置 REST_FRAMEWORK = { 'DEFAULT_AUTHENTICATION_CLASSES': ( 'rest_framework.authentication.TokenAuthentication', ) } 方法二.在提交信息中加上csrf_token: 页面form框中设置 {% csrf_token

DRF框架之视图集(ModelViewSet)简介

DRF框架中,一共有三个视图集类,我们这里只说明ModelViewSet一个. ModelViewSet是封装度最高的DRF的视图类.包含了怎删改查中的所有接口操作. 它继承自GenericViewSet.ListModelMixin.RetrieveModelMixin.CreateModelMixin.UpdateModelMixin.DestoryModelMixin. 所以,在使用ModelViewSet定义API时,我们只需要套用模板即可. 使用视图集,可以将一系列逻辑相关的动作放到一

在spring security手动 自定义 用户认证 SecurityContextHolder

1.Spring Security 目前支持认证一体化如下认证技术: HTTP BASIC authentication headers (一个基于IEFT  RFC 的标准) HTTP Digest authentication headers (一个基于IEFT  RFC 的标准) HTTP X.509 client certificate exchange  (一个基于IEFT RFC 的标准) LDAP (一个非常常见的跨平台认证需要做法,特别是在大环境) Form-based auth