DRF的JWT用户认证
- JWT的认证规则
- JWT的使用

DRF的JWT用户认证

从根本上来说,JWT是一种开放的标准(RFC 7519), 全称为json web token ,其存在的意义在于,对于前后端分离的项目来说,后端不需要存储token,主需要存储签发和校验token的算法,所以我们需要在前端存储token,然后通过JWT加密之后传送给后端,从而完成校验.

JWT算法认证的最大优点在于适合服务器集群部署,这样对于比较大的项目可以从根本上提升并发量.

JWT的认证规则

JWT的格式

jwt的格式是三段式,即header(头) . payload(负载) . Signature(签名),其中头和载负载采用的是base64可逆的加密,签名采用的则是md5不可逆的加密,具体如下:

头(基础信息): 包含两部分,token类型以及采用的加密算法
载负载(核心信息): 主要是用户信息,过期时间等
签名(安全保证): 包括三方面,即头加密结果+载荷加密结果+服务器秘钥,采用的是md5加密

我们的后台一定要保证服务器秘钥的安全,因为在jwt里面服务器秘钥是唯一的安全保障

JWT认证的流程

后台签发token -> 前台存储 -> 前台想后台发送需要认证的请求且携带token -> 后台校验token得到合法的用户

JWT模块的导入为

# 在cmd或者Terminal窗口中:

pip install djangorestframework-jwt

# 模块包名为rest_framework_jwt

JWT的使用

JWT最常用的是三个接口,签发token,校验token以及刷新token,我们可以分别在urls.py里面导入

# /urls.py

from django.conf.urls import url

from . import views

from rest_framework_jwt.views import ObtainJSONWebToken, obtain_jwt_token, verify_jwt_token, refresh_jwt_token

urlpatterns = [

    # drf-jwt三个视图接口

    url(r'^login/$', obtain_jwt_token),

    url(r'^verify/$', verify_jwt_token),

    url(r'^refresh/$', refresh_jwt_token),

]

# 导入之后,我们还需要在settings.py里面配置相关的JWT的配置项

# /settings.py

import datetime

JWT_AUTH = {

    # 设置JWT的过期时间

    'JWT_EXPIRATION_DELTA':datetime.timedelta(days=7),

    # 自定义jwt插件的配置

    'JWT_PEFRESH_EXPIRATION_DELTA':detetime.timedelta(days=7),

    # 设置JWT的头

    'JWT_AUTH_HEADER_PREFIX':'JWT'

}

下面我们就用代码来实现jwt的整个逻辑,大概逻辑如下:

视图类中,将请求数据交给序列化完成校验,然后返回用户信息和对应token
序列化类,自定义反序列化的字段,利用全局钩子校验数据得到user和token,并且保存在序列化类对象中
token可以采用jwt插件的rest_framework_jwt.serializers中jwt_payload_handler，jwt_encode_handler来完成签发

下面我们做一个实例,该小例子实现了用户的多方式登录:

# urls.py

from django.conf.urls import url

from . import views

urlpatterns = [

    url(r'^login/$', views.LoginAPIView.as_view())

]

# serializers.py

from rest_framework.serializers import ModelSerializer, CharField, ValidationError, SerializerMethodField

from . import models

import re

from rest_framework_jwt.serializers import jwt_payload_handler, jwt_encode_handler

class LoginSerializer(ModelSerializer):

    # 定义用户名和密码两个仅支持反序列化的字段

    username = CharField(write_only=True)

    password = CharField(write_only=True)

    class Meta:

        model = models.User

        fields = ('username', 'password')

    # 在全局钩子中签发token

    def validate(self, attrs):

        user = self._many_method_login(**attrs)

        # 将数据存放到序列化对象中

        payload = jwt_payload_handler(user)

        token = jwt_encode_handler(payload)

        self.user = user

        self.token = token

        return attrs

    # 多方式登录

    def _many_method_login(self, **attrs):

        username = attrs.get('username')

        password = attrs.get('password')

        # 正则匹配,如果有@符号,则判定为邮箱登录

        if re.match(r'.*@.*', username):

            user = models.User.objects.filter(email=username).first() 

        # 如果是11位数字且开头为1,判定为手机登录

        elif re.match(r'^1[0-9]{10}$', username):

            user = models.User.objects.filter(mobile=username).first()

        # 两个都不匹配的话,就判定为用户名登录

        else:

            user = models.User.objects.filter(username=username).first()

        # 如果用户不存在,就是信息有误

        if not user:

            raise ValidationError({'username': '账号有误'})

        # 如果用户存在,但是检测密码有问题,报错密码有误

        if not user.check_password(password):

            raise ValidationError({'password': '密码有误'})

        return user

# views.py

from rest_framework.views import APIView

from . import models, serializers

from utils.response import APIResponse

class LoginAPIView(APIView):

    authentication_classes = []

    permission_classes = []

    # 以post的方式接受前台发送的数据

    def post(self, request, *args, **kwargs):

        # 将前台传来的数据传送到序列化对象中,完成校验

        serializer = serializers.LoginSerializer(data=request.data)

        serializer.is_valid(raise_exception=True)

        return APIResponse(msg='login success', data={

            'username': serializer.user.username,

            'token': serializer.token

        })