drf三大认证

源码分析

  dispath方法内 self.initial(request, *args, **kwargs) 进入三大认证

        # 认证组件:校验用户(游客,合法用户,非法用户)
        # 游客:代表校验通过直接进入下一步校验,
        # 合法用户:代表校验通过,将用户存储在request.user中,在进入下一步校验
        # 非法用户:代表校验失败,抛出异常,返回403权限异常结果
        self.perform_authentication(request)
        # 权限组件:校验用户权限,必须登录,所有用户登录读写,游客只读,自定义用户角色
        # 认证通过:可以进入下一步校验
        # 认证失败:抛出异常,返回403权限异常结果
        self.check_permissions(request)
        # 频率组件:限制视图接口被访问的频率次数  限制的条件
        # 没有达到限次:正常访问接口
        # 达到限次:限制时间内不能访问,限制时间到达后,可以重新访问
        self.check_throttles(request)    

认证组件

def _authenticate(self):
        # 遍历拿到一个个认证器,进行认证
        # self.authenticators配置的一堆认证类产生的认证类对象组成的 list
        for authenticator in self.authenticators:
            try:
                # 认证器(对象)调用认证方法authenticate(认证类对象self, request请求对象)
                # 返回值:登陆的用户与认证的信息组成的 tuple
                # 该方法被try包裹,代表该方法会抛异常,抛异常就代表认证失败
                user_auth_tuple = authenticator.authenticate(self)
            except exceptions.APIException:
                self._not_authenticated()
                raise

            # 返回值的处理
            if user_auth_tuple is not None:
                self._authenticator = authenticator
                # 如何有返回值,就将 登陆用户 与 登陆认证 分别保存到 request.user、request.auth
                self.user, self.auth = user_auth_tuple
                return
        # 如果返回值user_auth_tuple为空,代表认证通过,但是没有 登陆用户 与 登陆认证信息,代表游客
        self._not_authenticated()

权限组件

self.check_permissions(request)
    认证细则:
    def check_permissions(self, request):
        # 遍历权限对象列表得到一个个权限对象(权限器),进行权限认证
        for permission in self.get_permissions():
            # 权限类一定有一个has_permission权限方法,用来做权限认证的
            # 参数:权限对象self、请求对象request、视图类对象
            # 返回值:有权限返回True,无权限返回False
            if not permission.has_permission(request, self):
                self.permission_denied(
                    request, message=getattr(permission, ‘message‘, None)
                )

权限六表分析

models.py

from django.db import models

# Create your models here.

# 如果自定义User表后,再另一个项目中采用原生User表,完成数据迁移时,可能失败
# 1.卸载Django,重新装
# 2.将Django.contrib下面的admin\auth下的数据库记录文件清空
from django.contrib.auth.models import AbstractUser

class User(AbstractUser):
    mobile = models.CharField(max_length=11,unique=True)

    class Meta:
        db_table = ‘api_user‘
        verbose_name = ‘用户表‘
        verbose_name_plural = verbose_name

    def __str__(self):
        return self.username

t_model.py

# django脚本话启动
import os, django
os.environ.setdefault("DJANGO_SETTINGS_MODULE", "day74.settings")
django.setup()

from api import models

user = models.User.objects.first()
# print(user.username)
# print(user.groups.first().name)
# print(user.user_permissions.first().name)

from django.contrib.auth.models import Group
group = Group.objects.first()
# print(group.name)
# print(group.user_set.first().username)
# print(group.permissions.first().name)

from django.contrib.auth.models import Permission
p_16 = Permission.objects.filter(pk=16).first()
print(p_16.user_set.first().username)
p_17 = Permission.objects.filter(pk=17).first()
print(p_17.group_set.first().name)

自定义认证类

settings.py

# drf配置
REST_FRAMEWORK = {
    # 认证类配置
    ‘DEFAULT_AUTHENTICATION_CLASSES‘: [
        # ‘rest_framework.authentication.SessionAuthentication‘,
        # ‘rest_framework.authentication.BasicAuthentication‘,
        ‘api.authentications.MyAuthentication‘,
        ],
}

authentications.py

from rest_framework.authentication import BaseAuthentication
from rest_framework.exceptions import AuthenticationFailed
from . import models
class MyAuthentication(BaseAuthentication):
    # 同前台请求拿认证信息auth,没有auth是游客,返回None
    # 有auth进行校验   失败是非法用户抛异常,成功是合法用户,返回(用户,认证信息)
    def authenticate(self, request):
        # 前台在请求头携带信息。默认用Authorization字段携带认证信息
        # 后台固定在请求对象的META字段中HTTP_AUTHORIZATION获取
        auth = request.META.get(‘HTTP_AUTHORIZATION‘,None)

        # 处理游客
        if auth is None:
            return None

        # 设置认证字段
        auth_list = auth.split()
        # 校验合法还是非法
        if not (len(auth_list) == 2 and auth_list[0].lower() == ‘auth‘):
            raise AuthenticationFailed(‘认证信息有误,非法用户‘)

        # 合法用户需要从auth_list[1]中解析出来
        if auth_list[1] != ‘abc.123.xyz‘: # 校验失败
            raise AuthenticationFailed(‘用户校验失败,非法用户‘)

        user = models.User.objects.filter(username=‘admin‘).first()

        if not user:
            raise AuthenticationFailed(‘用户数据有误,非法用户‘)
        return (user, None)

系统权限类

1)AllowAny:
    认证规则全部返还True:return True
        游客与登陆用户都有所有权限

2) IsAuthenticated:
    认证规则必须有登陆的合法用户:return bool(request.user and request.user.is_authenticated)
        游客没有任何权限,登陆用户才有权限

3) IsAdminUser:
    认证规则必须是后台管理用户:return bool(request.user and request.user.is_staff)
        游客没有任何权限,登陆用户才有权限

4) IsAuthenticatedOrReadOnly
    认证规则必须是只读请求或是合法用户:
        return bool(
            request.method in SAFE_METHODS or
            request.user and
            request.user.is_authenticated
        )
        游客只读,合法用户无限制

  urls.py

from django.conf.urls import url
from . import views

urlpatterns = [
    url(r‘^test‘, views.TestAPIView.as_view()),
   url(r‘^test1‘, views.TestAuthenticatedAPIView.as_view()),
]

settings.py

REST_FRAMEWORK = {
    # 权限类配置
    ‘DEFAULT_PERMISSION_CLASSES‘: [
        ‘rest_framework.permissions.AllowAny‘,
    ],
}

api/views.py

from rest_framework.views import APIView
from rest_framework.generics import GenericAPIView
from rest_framework.viewsets import GenericViewSet,ViewSet
from utils.response import APIResponse
from rest_framework.permissions import IsAuthenticated

class TestAPIView(APIView):
    def get(self, request, *args, **kwargs):
        return APIResponse(0, ‘test get ok‘)

class TestAuthenticatedAPIView(APIView):
    permission_classes = [IsAuthenticated]
    def get(self, request, *args, **kwargs):
        return APIResponse(0,‘test 登录才能访问接口 ok‘)

自定义权限类

  创建继承BasePermission的权限类,  实现has_permission方法,  实现体根据权限规则 确定有无权限,  进行全局或局部配置

认证规则:  满足设置的用户条件,代表有权限,返回True,  不满足设置的用户条件,代表有权限,返回False

urls.py

from django.conf.urls import url
from . import views

urlpatterns = [
    url(r‘^test2‘, views.TestAdminOrReadOnlyAPIView.as_view()),
]

permissions.py

from rest_framework.permissions import BasePermission
from django.contrib.auth.models import Group
class MyPermission(BasePermission):  # 只读接口判断
    def has_permission(self, request, view):
        r1 = request.method in (‘GET‘, ‘HEAD‘, ‘OPTIONS‘)    # group为当前所属的所有分组
        group = Group.objects.filter(name=‘管理员‘).first()
        groups = request.user.groups.all()
        r2 = group and groups
        r3 = group in groups    # 读接口都权限,写接口必须指定分组下的登录用户
        return r1 or (r2 and r3)

views.py

# 游客只读,登录用户只读,只有登录用户属于管理员分组,才可以增删改from utils.permissions import MyPermission
class TestAdminOrReadOnlyAPIView(APIView):
    permission_classes = [MyPermission]  # 所有用户都可以访问
    def get(self, request, *args, **kwargs):
        return APIResponse(0, ‘自定义读 OK‘)  # 必须是自定义管理员分组下的用户
    def post(self, request, *args, **kwargs):
        return APIResponse(0, ‘自定义写  OK‘)

原文地址:https://www.cnblogs.com/zrh-960906/p/11717110.html

时间: 2024-10-05 00:34:18

drf三大认证的相关文章

drf 三大认证详解

目录 drf 三大认证: 认证: 权限: 认证与权限组件绑定使用: 频率: 多方式登录: drf 三大认证: 认证: # 全局配置: -在全局(认证组件只能决定request.user,不是断定权限的地方,所以一般配置全局) REST_FRAMEWORK = { # 认证组件 'DEFAULT_AUTHENTICATION_CLASSES': [ 'rest_framework_jwt.authentication.JSONWebTokenAuthentication' ], } # 局部禁用(

drf三大认证:认证组件-权限组件-权限六表-自定义认证组件的使用

三大认证工作原理简介 源码分析: from rest_framework.views import APIView 源码分析入口: 内部的三大认证方法封装: 三大组件的原理分析: 权限六表分析 基于用户权限访问控制的认证(RBAC):Role-Based-Access-Control;基于auth的认证规则(了解). Django框架采用的是RBAC认证规则:通常分为:三表规则.五表规则.Django采用的是六表规则. 三表:用户表.角色表.权限表 五表:用户表.角色表.权限表.用户角色关系表.

?DRF?-----三大认证组件--认证组件

认证组件 铺垫: 源码分析 入口: restframework 框架内的 views 下的 APIView 的 dispatch方法 组件的最下面 有三个方法   分别是 认证组件  权限组件 和 频率组件 perform_authentication (认证组件) 校验用户 - 游客 合法用户 非法用户 游客: 代表校验通过 进入下一步校验 (权限校验) 合法用户: 代表校验通过 将用户 存储在 request.user 中 再进行下一步校验 非法用户: 代表校验失败 抛出异常 返回403 权

drf三大认证补充

频率认证 源码分析部分 def check_throttles(self, request): for throttle in self.get_throttles(): if not throttle.allow_request(request, self): self.throttled(request, throttle.wait()) def throttled(self, request, wait): #抛异常,可以自定义异常,实现错误信息的中文显示 raise exceptions

自定义路由组件,Django的admin后台管理,DRF的三大认证,jwt认证

目录 一.自定义路由组件 1. 为什么要自定义路由组件 2. 自定义路由组件实例 二.Django的admin后台管理 三.DRF的三大认证组件概括 1. 认证组件 2. 权限组件 3. 频率组件 四.Django中的用户权限管理 五.jwt认证 1. jwt认证和普通session认证的区别 2. jwt认证介绍 (1)jwt的原理 (2)jwt三部分的内容 3. jwt的签发算法 (1)第一步:头部算法 (2)第二步:载荷部分的算法 (3)第三步:签名部分的算法 (4)第四步:连接生成tok

drf框架 6 视图集与路由组件(开发最常用、最高级) 三大认证原理 RBAC认证规则

准备工作 models.py from django.db import models # 基类:是抽象的(不会完成数据库迁移),目的是提供共有字段的 class BaseModel(models.Model): is_delete = models.BooleanField(default=False) updated_time = models.DateTimeField(auto_now_add=True) class Meta: abstract = True # 必须完成该配置 cla

drf之三大认证

一.前言 ? 我们知道drf的APIView类的as_view直接对原生django的csrf进行了禁用,是什么让drf有如此底气?从之前对drf的源码分析可以看到,三条语句. self.perform_authentication(request) self.check_permissions(request) self.check_throttles(request) 这就是drf的三大认证. 二.用户认证 1.drf的用户认证 ? 我们的某些接口需要对用户进行辨别,那么我们该如何区分A用户

三大认证

一.三大认证功能分析 1)APIView的 dispath(self, request, *args, **kwargs) 2)dispath方法内 self.initial(request, *args, **kwargs) 进入三大认证 # 认证组件:校验用户 - 游客.合法用户.非法用户 # 游客:代表校验通过,直接进入下一步校验(权限校验) # 合法用户:代表校验通过,将用户存储在request.user中,再进入下一步校验(权限校验) # 非法用户:代表校验失败,抛出异常,返回403权

drf 权限认证

目录 复习 前期准备 三大认证简介 AbstracUser源码分析 自定义User下的权限六表 models.py 到settings.py中注册 注意点: 执行数据迁移的俩条命令 创建超级用户 源码分析 复习 """ 视图家族 1.视图类:APIView.GenericAPIView APIView:作为drf的基础view:as_view()禁用csrf:dispatch()二次封装request.三大认证.解析.渲染.响应.异常等模块:一堆类属性,可以用来做全局或局部插