DRF教程7-token认证

电玩女神 2021-12-17 07:19 326阅读 0赞

# [Authentication][] #

认证是将一个传入的请求和一组标识凭据相关联的机制，比如请求过来的用户，或者用户登录时携带的token。

然后权限策略就能使用这些凭据来决定是否允许这个请求。

REST框架提供了多种开箱即用的方案，也允许你实施自定义的方案。

认证总是在view的最开始运行，在权限检查之前，在其他任何代码被允许执行之前。

request.user属性通常会被设为`contrib.auth` 包下的User类。

request.auth属性被用做额外的认证信息。比如，作为一个请求签名的认证token

记住一点，认证机制自己并没有允许或不允许一个传入的请求，它只是简单的标识请求携带的凭据。

## 认证方案设定 ##

### 全局 ###

REST_FRAMEWORK = {
        ...
        'DEFAULT_AUTHENTICATION_CLASSES': (
            'rest_framework.authentication.TokenAuthentication',
            'rest_framework.authentication.BasicAuthentication'
        ),
    }
    #默认是session+basic
    #对于前后端分离的项目，session认证一般删掉，使用token，basic是必须放在这里的。
    #在settings里设置默认认证类，然后会自上而下拿着请求来验证，然后使用第一个成功认证的类返回用户对象request.user (用户信息)和request.auth（认证信息）。
    #如果没有类认证，request.user 会被设为 django.contrib.auth.models.AnonymousUser一个实例,request.auth 会设置为 None.

### 局部 ###

from rest_framework.authentication import SessionAuthentication, BasicAuthentication
    from rest_framework.permissions import IsAuthenticated
    from rest_framework.response import Response
    from rest_framework.views import APIView
    
    class ExampleView(APIView):
        authentication_classes = (SessionAuthentication, BasicAuthentication)
        permission_classes = (IsAuthenticated,)
    
        def get(self, request, format=None):
            content = {
                'user': unicode(request.user),  # `django.contrib.auth.User` instance.
                'auth': unicode(request.auth),  # None
            }
            return Response(content)

## [Unauthorized and Forbidden responses][] ##

当一个未被认证的请求被拒绝时，有两种合适的error code

*  [HTTP 401 Unauthorized][]
 *  [HTTP 403 Permission Denied][]

401返回必须包含一个`WWW-Authenticate` header，指导客户端需要如何认证。

403返回没有包含`WWW-Authenticate` header。

使用哪种返回，取决于认证方案。虽然有多种认证方案在使用，但可能只有一个方案用于决定返回的类型。

**在确定响应类型时，将使用视图上设置的第一个身份验证类**。

注意：当一个请求被成功认证时，但还是被拒绝执行请求，这种情况下，不论时哪种认证方案，总是使用403返回。

# authentication.py源码分析 #

class BaseAuthentication(object):
        """
        All authentication classes should extend BaseAuthentication.
        """
    
        def authenticate(self, request):
            """
            Authenticate the request and return a two-tuple of (user, token).
            """
            raise NotImplementedError(".authenticate() must be overridden.")
    
        def authenticate_header(self, request):
            """
            Return a string to be used as the value of the `WWW-Authenticate`
            header in a `401 Unauthenticated` response, or `None` if the
            authentication scheme should return `403 Permission Denied` responses.
            """
            pass
    #所有认证类都是基于它扩展

## [BasicAuthentication][] ##

这个方案使用[HTTP Basic Authentication][]，使用用户的username和password进行签名。一般只适合用于测试。

如果成功认证，它会提供以下凭据：

*  `request.user` will be a Django `User` instance.
 *  `request.auth` will be `None`.

未认证时返回401，带一个WWW-Authenticate header。比如：

WWW-Authenticate: Basic realm="api"

## [TokenAuthentication][] ##

单单使用一个token-based HTTP认证方案。

首先需要在认证类设置中包含TokenAuthentication

此外在`INSTALLED_APPS` 设置中包含rest\_framework.authtoken

INSTALLED_APPS = (
        ...
        'rest_framework.authtoken'
    )

然后要同步数据库，因为rest\_framework.authtoken会提供 Django database migrations.

[root@webmaster mofangsvr]# python3.7 manage.py showmigrations
    
    authtoken
     [ ] 0001_initial
     [ ] 0002_auto_20160226_1747
    cmdb
     [X] 0001_initial
    #有个authtoken的app，有两个migrations没有同步
    
    
    python3.7 manage.py migrate authtoken
    #同步数据

然后要创建url

from rest_framework.authtoken import views
    urlpatterns += [
        path('api-token-auth/', views.obtain_auth_token)
    ]
    #在项目urls.py中加入就行

token测试

# curl -X POST -H "Content-Type:application/json" -d '{"username":"yueju_view","password":"123@abAB"}' http://192.168.10.10:8001/api-token-auth/
    {"token":"e3205a50505096dacb3fbbadc7de79cd95b3af45"}
    #服务端返回了一个token
    #在authtoken_token表中产生了一条数据，和user_id关联，但会发现没有过期时间

class SvrprocessconfigTestViewSet(viewsets.ModelViewSet):
    
    
        serializer_class = SvrprocessconfigSerializer
        permission_classes = (IsAuthenticated,)
    #在一个类视图中使用认证权限

curl -X GET http://192.168.10.10:8001/cmdb/svrprocess_Test/
    {"detail":"身份认证信息未提供。"}
    #这时无法访问，后台401认证错误

curl -X GET http://192.168.10.10:8001/cmdb/svrprocess_Test/ -H 'Authorization: Token e3205a50505096dacb3fbbadc7de79cd95b3af45'
    #带上token，则成功返回数据

## JWT认证 ##

[http://getblimp.github.io/django-rest-framework-jwt/][http_getblimp.github.io_django-rest-framework-jwt]

测试方式和token的一样，唯一不一样的就是token串变得长了几倍，然后内容每次都是不一样的。

去查源码，可以发现是因为在串里加入了时间再进行加密。

过期时间

JWT_AUTH = {
        'JWT_EXPIRATION_DELTA': datetime.timedelta(seconds=20),
    }
    #jwt设置的默认过期时间是300s，可在项目settings中调整
    #如果过期，则token不再生效。报以下错误
    
    {"detail":"Signature has expired."}

转载于:https://www.cnblogs.com/jabbok/p/10795440.html

[Authentication]: https://www.django-rest-framework.org/api-guide/authentication/#authentication
[Unauthorized and Forbidden responses]: https://www.django-rest-framework.org/api-guide/authentication/#unauthorized-and-forbidden-responses
[HTTP 401 Unauthorized]: https://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html#sec10.4.2
[HTTP 403 Permission Denied]: https://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html#sec10.4.4
[BasicAuthentication]: https://www.django-rest-framework.org/api-guide/authentication/#basicauthentication
[HTTP Basic Authentication]: https://tools.ietf.org/html/rfc2617
[TokenAuthentication]: https://www.django-rest-framework.org/api-guide/authentication/#tokenauthentication
[http_getblimp.github.io_django-rest-framework-jwt]: http://getblimp.github.io/django-rest-framework-jwt/