DjangoRestFramework学习三之认证组件、权限组件、频率组件、url注册器、响应器、分页组件

本节目录

一 认证组件

　　1. 局部认证组件

　　　　我们知道，我们不管路由怎么写的，对应的视图类怎么写的，都会走到dispatch方法，进行分发，

　　　　在咱们看的APIView类中的dispatch方法的源码中，有个self.initial(request, *args, **kwargs)，那么认证、权限、频率这三个默认组件都在这个方法里面了，如果我们自己没有做这三个组件的配置，那么会使用源码中默认的一些配置。进源码去看看你就会看到下面三个东西：

# Ensure that the incoming request is permitted
#实现认证
self.perform_authentication(request)
#权限判断
self.check_permissions(request)
#控制访问频率
elf.check_throttles(request)

　　　　目前为止大家知道的认证机制是不是有cookie、session啊，session更安全一些，但是你会发现session的信息都存到咱们的服务器上了，如果用户量很大的话，服务器压力是比较大的，并且django的session存到了django_session表中，不是很好操作，但是一般的场景都是没有啥问题的，现在生产中使用的一个叫做token机制的方式比较多，现在我们是不是就知道个csrf_token啊，其实token有很多种写法，如何加密，你是hashlib啊还是base64啊还是hmac啊等，是不是加上过期时间啊，是不是要加上一个secret_key(客户端与服务端协商好的一个字符串，作为双方的认证依据)，是不是要持续刷新啊(有效时间要短，不断的更新token，如果在这么短的时间内还是被别人拿走了token，模拟了用户状态，那这个基本是没有办法的，但是你可以在网络或者网络设备中加安全，存客户的ip地址等，防黑客)等等。

　　　　大致流程图解：

　　　　　　

　　　　

　　　　首先我们需要创建一个表，用户表，里面放一个token字段，其实一般我都是放到两个表里面，和用户表是一个一对一关系的表，看代码：

################################# user表 ###############################
class User(models.Model):
    user = models.CharField(max_length=32)
    pwd = models.CharField(max_length=32)
    type_choice=((1,"VIP"),(2,"SVIP"),(3,"SSVIP"))
    user_type = models.IntegerField(choices=type_choice)

class UserToken(models.Model):
    user = models.OneToOneField(to=User) #一对一到用户表
    token = models.CharField(max_length=128) #设置的长度大一些
    # expire_time = models.DateTimeField() #如果做超时时间限制，可以在这里加个字段来搞，这里我没有写昂，简单搞了

　　　　urls.py内容如下：

#登陆认证接口
url(r‘^login/$‘, views.LoginView.as_view(),), #别忘了$符号结尾

　　　　views.py内容如下：自己写一个每次登陆成功之后刷新token值

###################login逻辑接口#######################
#关于逻辑接口而不是提供数据的接口，我们不用ModelViewSet，而是直接写个类，继承APIView，然后在类里面直接写咱的逻辑
import uuid
import os
import json
class LoginView(APIView):
    #从前后端分离的项目来讲，get请求不需要写，因为get就是个要登陆页面的操作，vue就搞定了，所以我们这里直接写post请求就可以了
    def post(self,request):
        # 一般，请求过来之后，我们后端做出的响应，都是个字典，不仅包含错误信息，还有要状态码等，让客户端明白到底发生了什么事情
        # ‘code‘的值，1表示成功，0表示失败,2表示其他错误(自己可以做更细致的错误代码昂)
        res = {‘code‘: 1, ‘msg‘: None, ‘user‘: None,‘token‘:None}
        print(request.data)
        try:
            user = request.data.get(‘user‘)
            pwd = request.data.get(‘pwd‘)
            # 数据库中查询
            user_obj = models.User.objects.filter(user=user, pwd=pwd).first()
            if user_obj:
                res[‘user‘] = user_obj.user
                # 添加token，用到咱们usertoken表
                # models.UserToken.objects.create(user=user,token=‘123456‘)
                # 创建token随机字符串，我写了两个方式，简写的昂，最好再加密一下
                random_str = uuid.uuid4()
                # random_str = os.urandom(16) bytes类型的16位的随机字符串
                models.UserToken.objects.update_or_create(
                    user=user_obj,  # 查找筛选条件
                    defaults={  # 添加或者更新的数据
                        "token": random_str,
                    }
                )
                res[‘token‘] = random_str
                res[‘msg‘] = ‘登陆成功‘
            else:
                res[‘code‘] = 0
                res[‘msg‘] = ‘用户名或者密码错误‘
                return Response(res)
        except Exception as e:
            res[‘code‘] = 2
            res[‘msg‘] = str(e)

        return Response(res)

　　　　通过上面的代码我们将token返回给了用户，那么以后用户不管发送什么请求，都要带着我给它的token值来访问，认证token通过才行，并且更新token。

　　　　下面我们玩一下drf提供的认证组件的玩法。

　　DRF的认证组件

　　　　将来有些数据接口是必须要求用户登陆之后才能获取到数据，所以将来用户登陆完成之后，每次再过来请求，都要带着token来，作为身份认证的依据。

from app01.serializer import BookSerializers

#####################Book表操作##########################

class UserAuth():
　　 def authenticate_header(self,request):
         pass
#authenticate方法固定的,并且必须有个参数，这个参数是新的request对象，不信，看源码
    def authenticate(self,request):

        if 1:
        #源码中会发现，这个方法会有两个返回值，并且这两个返回值封装到了新的request对象中了，request.user-->用户名 和 request.auth-->token值，这两个值作为认证结束后的返回结果
            return "chao","asdfasdfasdf"

class BookView(APIView):
    #认证组件肯定是在get、post等方法执行之前执行的，还记得源码的地方吗，这个组件是在dispatch的地方调用的,我们是上面写个UserAuth类
    authentication_classes = [UserAuth,] #认证类可以写多个，一个一个的顺序验证,假如有多个认证组件,只有最后一个有return值,别的return个None 或者直接return 后面不跟参数
    def get(self,request):
        ‘‘‘
        查看所有书籍
        :param request:
        :return:
        ‘‘‘
        #这样就拿到了上面UserAuth类的authenticate方法的两个返回值
        print(request.user)
        print(request.auth)
        book_obj_list = models.Book.objects.all()
        s_books = BookSerializers(book_obj_list,many=True)
        return Response(s_books.data)

　　　　

    def _authenticate(self):
        """
        Attempt to authenticate the request using each authentication instance
        in turn.
        """
        for authenticator in self.authenticators:
            try:
                user_auth_tuple = authenticator.authenticate(self)
            except exceptions.APIException:
                self._not_authenticated()
                raise

            if user_auth_tuple is not None:
                self._authenticator = authenticator
                #值得注意的是，self是APIView封装的新的request对象
                self.user, self.auth = user_auth_tuple
                return   #退出了这个函数，函数就不会执行了，不会再循环了，所以如果你的第一个认证类有返回值，那么第二个认证类就不会执行了，所以别忘了return是结束函数的意思，所以如果你有多个认证类，那么返回值放到最后一个类里面

一看源码就全会玩了

　　好，我们写一写获取token值，然后校验的功能，看views.py的代码：

from django.shortcuts import render,HttpResponse,redirect
from django.views import View
from rest_framework import serializers
from app01 import models
from rest_framework.views import APIView
from rest_framework.response import Response
#将序列化组件都放到一个单独的文件里面，然后引入进来
from app01.serializer import BookSerializers,PublishSerializers,AuthorSerializers
#drf提供的认证失败的异常
from rest_framework.exceptions import AuthenticationFailed

class UserAuth():
    #每个认证类，都需要有个authenticate_header方法，并且有个参数request
    def authenticate_header(self,request):
        pass
    #authenticate方法固定的,并且必须有个参数，这个参数是新的request对象，不信，看源码
    def authenticate(self,request):
        # token = request._request.GET.get("token")
        #由于我们这个request是新的request对象，并且老的request对象被封装到了新的request对象中，名字是self._request，所以上面的取值方式是没有问题的，不过人家APIView不仅封装了老的request对象，并且还给你加了query_params属性，和老的request.GET得到的内容是一样的，所以可以直接按照下面的方式来写
        token = request.query_params.get("token")
        #用户请求来了之后，我们获取token值，到数据库中验证
        usertoken = models.UserToken.objects.filter(token=token).first()
        if usertoken:
            #验证成功之后，可以返回两个值，也可以什么都不返回
            return usertoken.user.user,usertoken.token

        #源码中会发现，这个方法会有两个返回值，并且这两个返回值封装到了新的request对象中了，request.user-->用户名 和 request.auth-->token值，这两个值作为认证结束后的返回结果
        else:
            #因为源码内部进行了异常捕获，并且给你主动返回一个forbiden错误，所以我们在这里主动抛出异常就可以了
            raise AuthenticationFailed("认证失败")

　　　　urls.py内容如下：

url(r‘^books/$‘, views.BookView.as_view(),),

　　　　通过postman发送请求，你会发现错误：

　　　　　　

　　　　如果我们请求中带了数据库中保存的token值，那么就会成功获取数据，看数据库中的token值：

　　　　　　

　　　　然后通过postman再请求，带着token值，看效果，成功了：

　　　　　　

　　　　

　　　　继承drf的BaseAuthentication认证类的写法：

from app01 import models
from rest_framework.views import APIView
from rest_framework.response import Response
#将序列化组件都放到一个单独的文件里面，然后引入进来
from app01.serializer import BookSerializers,PublishSerializers,AuthorSerializers
#drf提供的认证失败的异常
from rest_framework.exceptions import AuthenticationFailed
from rest_framework.authentication import BaseAuthentication
#继承drf的BaseAuthentication类
class UserAuth(BaseAuthentication):
    # 继承了BaseAuthentication类之后，这个方法就不用写了
    # def authenticate_header(self,request):
    #     pass
    def authenticate(self,request):
        # token = request._request.GET.get("token")
        token = request.query_params.get("token")
        #有request对象，那么不仅仅可以认证token，还可以认证请求里面的其他内容
        usertoken = models.UserToken.objects.filter(token=token).first()
        if usertoken:
            #验证成功之后
            return usertoken.user.user,usertoken.token
        else:
            raise AuthenticationFailed("认证失败")

class BookView(APIView):
    #通过源码看，认证类的查找过程，和解析组件的查找过程是一样的
    authentication_classes = [UserAuth,]
    def get(self,request):
        ‘‘‘
        查看所有书籍
        :param request:
        :return:
        ‘‘‘
        print(request.user)
        print(request.auth)
        book_obj_list = models.Book.objects.all()
        s_books = BookSerializers(book_obj_list,many=True)
        return Response(s_books.data)

　　　　带时间戳的随机字符串：

def get_random_str(user):
    import hashlib,time
    ctime=str(time.time())

    md5=hashlib.md5(bytes(user,encoding="utf8"))
    md5.update(bytes(ctime,encoding="utf8"))

    return md5.hexdigest()

　　全局视图认证组件：

　　　　在settings.py文件中配置：如果我再app01文件夹下的service文件夹下的auth文件夹下写了我们自己的认证类，那么全局配置的写法就按照下面的方式写。

REST_FRAMEWORK={
    "DEFAULT_AUTHENTICATION_CLASSES":["app01.service.auth.Authentication",]  #里面是路径字符串
}

　　认证组件就说这些，看权限组件吧。

二 权限组件

　　局部视图权限：

　　　　在app01.service.permissions.py中

from rest_framework.permissions import BasePermission
class SVIPPermission(BasePermission):
    message="SVIP才能访问!" #变量只能叫做message
    def has_permission(self, request, view):  #重写has_permission方法，自己写权限逻辑，看看源码就明白了，这个view是咱当前类的实例化对象，一般用不到，但是必须给个参数写在这里。
        if request.user.user_type==3:
            return True  #通过权限
        return False     #没有通过

　　　　在views.py：

from app01.service.permissions import *

class BookViewSet(generics.ListCreateAPIView):
    permission_classes = [SVIPPermission,]
    queryset = Book.objects.all()
    serializer_class = BookSerializers

　　全局视图权限：

　　　　settings.py配置如下：

REST_FRAMEWORK={
    "DEFAULT_AUTHENTICATION_CLASSES":["app01.service.auth.Authentication",],
    "DEFAULT_PERMISSION_CLASSES":["app01.service.permissions.SVIPPermission",]
}

三 频率组件

局部视图throttle，反爬，防攻击

在throttles.py中：

from rest_framework.throttling import BaseThrottle,SimpleRateThrottle
import time
from rest_framework import exceptions
visit_record = {}
class VisitThrottle(BaseThrottle):
    # 限制访问时间
    VISIT_TIME = 10
    VISIT_COUNT = 3

    # 定义方法 方法名和参数不能变
    def allow_request(self, request, view):
        # 获取登录主机的id
        id = request.META.get(‘REMOTE_ADDR‘)
        self.now = time.time()

        if id not in visit_record:
            visit_record[id] = []

        self.history = visit_record[id]
        # 限制访问时间
        while self.history and self.now - self.history[-1] > self.VISIT_TIME:
            self.history.pop()
        # 此时 history中只保存了最近10秒钟的访问记录
        if len(self.history) >= self.VISIT_COUNT:
            return False
        else:
            self.history.insert(0, self.now)
            return True

    def wait(self):
        return self.history[-1] + self.VISIT_TIME - self.now

在views.py中：

from app01.service.throttles import *

class BookViewSet(generics.ListCreateAPIView):
    throttle_classes = [VisitThrottle,]
    queryset = Book.objects.all()
    serializer_class = BookSerializers

全局视图throttle

REST_FRAMEWORK={
    "DEFAULT_AUTHENTICATION_CLASSES":["app01.service.auth.Authentication",],
    "DEFAULT_PERMISSION_CLASSES":["app01.service.permissions.SVIPPermission",],
    "DEFAULT_THROTTLE_CLASSES":["app01.service.throttles.VisitThrottle",]
}

内置throttle类

在throttles.py修改为：

class VisitThrottle(SimpleRateThrottle):

    scope="visit_rate"
    def get_cache_key(self, request, view):

        return self.get_ident(request) #这里的self.get_ident(request)是获取的ip地址,把ip地址传给频率控制器.也可以传别的值,只要是这个用户唯一的就行

　　settings.py设置：

REST_FRAMEWORK={
    "DEFAULT_AUTHENTICATION_CLASSES":["app01.service.auth.Authentication",],
    "DEFAULT_PERMISSION_CLASSES":["app01.service.permissions.SVIPPermission",],
    "DEFAULT_THROTTLE_CLASSES":["app01.service.throttles.VisitThrottle",],
    "DEFAULT_THROTTLE_RATES":{
        "visit_rate":"5/m", #可以使用秒 时 分 日 月 年  5/m 一分钟最多访问5次
    }
}

四 url注册器

帮我们自动生成4个url，和我们自己写的差不多：

from django.conf.urls import url,include
from django.contrib import admin
from app01 import views
from rest_framework import routers

router = routers.DefaultRouter()
#自动帮我们生成四个url
router.register(r‘authors‘, views.AuthorView)
router.register(r‘books‘, views.BookView)

urlpatterns = [

    # url(r‘^books/$‘, views.BookView.as_view(),), #别忘了$符号结尾
    # url(r‘api/‘, include(router.urls)),
    url(r‘‘, include(router.urls)),   #http://127.0.0.1:8000/books/  也可以这样写：http://1270.0..1:8000/books.json/

    #登陆认证接口
    url(r‘^login/$‘, views.LoginView.as_view(),), #别忘了$符号结尾

]

但是有个前提就是，我们用的是：ModelViewSet序列化组件。

from rest_framework.viewsets import ModelViewSet
class AuthorView(ModelViewSet):
    queryset = models.Author.objects.all()
    serializer_class = AuthorSerializers

class BookView(ModelViewSet):
    queryset = models.Book.objects.all()
    serializer_class = BookSerializers

所以，这个url注册器其实并没有那么好用，当然啦，看需求.

五 响应器

简单看看就行啦：

from rest_framework.viewsets import ModelViewSet
from rest_framework.renderers import JSONRenderer,BrowsableAPIRenderer
#如果我们没有在自己的视图类里面配置，那么源码里面默认就用的这两个JSONRenderer,BrowsableAPIRenderer
#BrowsableAPIRenderer 是当客户端为浏览器的时候，回复的数据会自动给你生成一个页面形式的数据展示，一般开发的时候，都不用页面形式的
#JSONRenderer：回复的是json数据

class BookView(ModelViewSet):
    # renderer_classes = [JSONRenderer,] #其实默认就是这个JSONRenderer，所以一般不用在这里配置了
    queryset = models.Book.objects.all()
    serializer_class = BookSerializers

六 分页器组件

简单使用：

#引入分页
from rest_framework.pagination import PageNumberPagination
class BookView(APIView):
    # 通过源码看，认证类的查找过程，和解析组件的查找过程是一样的
    # authentication_classes = [UserAuth,]
    # throttle_classes = [VisitThrottle,]

    def get(self,request):
        ‘‘‘
        查看所有书籍
        :param request:
        :return:
        ‘‘‘

        book_obj_list = models.Book.objects.all()
        #创建分页器对象，PageNumberPagination类中除了PAGE_SIZE属性之外，还有个page属性，这个page属性是第几页，用法是http://127.0.0.1:8000/books/?page=1
        pnb = PageNumberPagination()
        #通过分页器对象的paginate_queryset方法进行分页，
        paged_book_list = pnb.paginate_queryset(book_obj_list,request,)
        #将分页的数据进行序列化
        s_books = BookSerializers(paged_book_list,many=True)
        return Response(s_books.data)

settings配置文件：

REST_FRAMEWORK={

    # "DEFAULT_THROTTLE_RATES":{
    #     "visit_rate":"5/m",
    # },
    ‘PAGE_SIZE‘:5, #这是全局的一个每页展示多少条的配置，但是一般不用它，因为不用的数据展示可能每页展示的数量是不同的
}

如果我们不想用全局的page_size配置，我们自己可以写个类来继承分页类组件，重写里面的属性：

#引入分页
from rest_framework.pagination import PageNumberPagination
class MyPagination(PageNumberPagination):
    page_size = 3 #每页数据显示条数
    page_query_param = ‘pp‘  #http://127.0.0.1:8000/books/?pp=1,查询哪一页的数据
    page_size_query_param = ‘size‘ #如果我们显示的一页数据不够你用的，你想临时的多看展示一些数据，可以通过你设置的这个page_size_query_param作为参数来访问：http://127.0.0.1:8000/books/?pp=2&size=5 #那么你看到的虽然是第二页，但是可以看到5条数据，意思是将page_size的数字临时扩大了，每页展示的数据就多了或者少了，看你的page_size_query_param设置的值
    max_page_size = 10 #最大每页展示多少条，即便是你前端通过page_size_query_param临时调整了page_size的值，但是最大也不能超过我们设置的max_page_size的值

class BookView(APIView):
    def get(self,request):
        ‘‘‘
        查看所有书籍
        :param request:
        :return:
        ‘‘‘
        book_obj_list = models.Book.objects.all()
        pnb = MyPagination()
        paged_book_list = pnb.paginate_queryset(book_obj_list,request,)
        s_books = BookSerializers(paged_book_list,many=True)
        return Response(s_books.data)

还有我们玩的继承了ModelViewSet类的试图类使用分页器的写法：

from rest_framework.viewsets import ModelViewSet

from rest_framework.pagination import PageNumberPagination
class MyPagination(PageNumberPagination):
    page_size = 3
    page_query_param = ‘pp‘
    page_size_query_param = ‘size‘
    max_page_size = 10

class BookView(ModelViewSet):
    queryset = models.Book.objects.all()
    serializer_class = BookSerializers
    pagination_class = MyPagination #配置我们自己写的分页类

还有个偏移分页，了解一下就行了

from rest_framework.pagination import LimitOffsetPagination

七 xxx

八 xxx

　　

原文地址：https://www.cnblogs.com/16795079a/p/10758539.html

时间： 2024-09-30 07:28:39

DjangoRestFramework学习三之认证组件、权限组件、频率组件、url注册器、响应器、分页组件的相关文章

Django Rest Framework url注册器组件 | 响应器组件 | 分页器组件

文章参考博主:https://www.cnblogs.com/li-li/p/10103918.html 1.url注册器组件 : 通过DRF的视图组件,数据接口逻辑被我们优化到最后剩下一个类,接下来,我们使用DRF的url控制器来帮助我们自动生成url '''3.使用url注册器组件的url''' #导入模块 from rest_framework import routers router = routers.DefaultRouter() # 3.将需要自动生成url的接口注册到route

认证、权限、频率、自定义签发token-多方式登录

目录 三大认证流程图 路由配置 认证组件 权限组件 自定义权限类 配置drf自带的权限类 drf-jwt 签发token源码分析 多方式登录 签发token VIP用户认证权限例子 频率组件 自定义频率类 三大认证流程图 路由配置 在应用下新建文件router.py # router.py from rest_framework.routers import Route, DynamicRoute, SimpleRouter as DRFSimpleRouter class SimpleRout

04，认证、权限、频率

.wiz-editor-body .wiz-code-container { position: relative; padding: 8px 0; margin: 5px 25px 5px 5px; text-indent: 0; text-align: left } .CodeMirror { font-family: Consolas, "Liberation Mono", Menlo, Courier, monospace; color: black; font-size: 0

restful（3）：认证、权限、频率

models.py中: class UserInfo(models.Model): name = models.CharField(max_length=32) psw = models.CharField(max_length=32) user_type_choices = ((1,"普通"),(2,"VIP"),(3,"SVIP")) user_type = models.SmallIntegerField(choices=user_type

SpringBoot(十四)：springboot整合shiro-登录认证和权限管理

原文出处: 纯洁的微笑 这篇文章我们来学习如何使用Spring Boot集成Apache Shiro.安全应该是互联网公司的一道生命线,几乎任何的公司都会涉及到这方面的需求.在Java领域一般有Spring Security.Apache Shiro等安全框架,但是由于Spring Security过于庞大和复杂,大多数公司会选择Apache Shiro来使用,这篇文章会先介绍一下Apache Shiro,在结合Spring Boot给出使用案例. Apache Shiro What is Ap

认证 权限 视图 频率

认证组件 使用:写一个认证类,继承BaseAuthentication 在类中写authenticate方法,把request对象传入 能从request对象中取出用户携带的token根据token判断是否登录过 如果登录过,返回两个值 user对象 ,token对象(或者其他自定义的对象) 如果没有登录过抛异常 from rest_framework.authentication import BaseAuthentication from app01 import models from r

DRF的版本、认证、权限

DRF的版本 版本控制是做什么用的, 我们为什么要用 首先我们要知道我们的版本是干嘛用的呢~~大家都知道我们开发项目是有多个版本的~~ 当我们项目越来越更新~版本就越来越多~~我们不可能新的版本出了~以前旧的版本就不进行维护了~~~ 那我们就需要对版本进行控制~~这个DRF也给我们提供了一些封装好的版本控制方法~~ 版本控制怎么用 之前我们学视图的时候知道APIView,也知道APIView返回View中的view函数,然后调用的dispatch方法~ 执行self.initial方法之前是各种

Vue.js的表格分页组件

转自:http://www.cnblogs.com/Leo_wl/p/5522299.html 有一段时间没更新文章了,主要是因为自己一直在忙着学习新的东西而忘记分享了,实在惭愧. 这不,大半夜发文更一篇文章,分享一个自己编写的一个Vue的小组件,名叫BootPage. 不了解Vue.js的童鞋可以移步我的上一篇文章<浅谈Vue.js>了解一下. BootPage组件简介 其实也不是啥高大上的组件了,相反确实一个简单的表格分页组件而已,主要是自己最近项目中需要一个表格分页组件,而Vue官方组件

基于Vue.js的表格分页组件

BootPage组件简介 其实也不是啥高大上的组件了,相反确实一个简单的表格分页组件而已,主要是自己最近项目中需要一个表格分页组件,而Vue官方组件库里分页组件都功能太强大或者没有适合我的,所以就自己写了一个凑合着用,或许有人和我一样需要这样一个简单的分页组件来实现简单的分页功能,我便在这里分享一下,大家自觉填坑咯. 如需高大上的组件,可以移步Vue官方组件库:https://github.com/vuejs/awesome-vue#libraries--plugins BootPage是一款支