三大认证组件及jwt认证规则
1、认证组件
1、认证规则
-
从请求头中(Authorization)获取认证信息(token)
-
如果没有拿到认证信息,直接判定该请求为匿名请求(游客) => 代表认证通过了,返回None
-
-
如果拿到的认证信息,进行信息校验,校验失败了,就抛出异常
-
一般认证组件在settings中进行全局配置
2、自定义认证类
我们一般都不需要自定义认证类,在settings中全局配置第三方 jwt 认证组件提供的认证类即可,如果要自定义认证类步骤如下:
-
自定义认证类,首先继承 BaseAuthentication 类
-
必须重写 authenticate(self, request) 方法
-
没有认证信息,返回None:匿名用户(游客) => 匿名用户request.user也有值,就是"匿名对象(Anonymous)"
-
有认证信息,且通过,返回(user, token):合法用户 => user对象会存到request.user中
-
有认证信息,不通过,抛异常:非法用户
-
2、权限组件
1、权限规则
-
权限组件只有在认证通过后,再会执行,权限组件的目的就是判断认证通过的用户(匿名用户、有权限用户)
-
权限规则其实就是条件逻辑,有权限就返回True => 代表权限通过
-
条件逻辑判断失败,代表用户没有权限,返回False => 权限失败
-
权限组件通知在视图类中局部配置
2、自定义权限类
我们一般在视图类中局部配置drf提供的权限类,但是也会自定义权限类完成局部配置
-
自定义权限类,首先继承 BasePermission 类
-
必须重写 has_permission(self, request, view): 方法
-
设置权限条件,条件通过,返回True => 有权限
-
设置权限条件,条件不通过,返回False => 没有权限
-
-
drf提供的权限类:
-
AllowAny:匿名与合法用户都可以
-
IsAuthenticated:必须登录,只有合法用户可以
-
IsAdminUser:必须是admin后台用户
-
IsAuthenticatedOrReadOnly:匿名只读,合法用户无限制
-
from rest_framework.permissions import AllowAny, IsAuthenticated, IsAdminUser, IsAuthenticatedOrReadOnly class UserCenterViewSet(GenericViewSet, mixins.RetrieveModelMixin): permission_classes = [IsAuthenticated, ] queryset = models.User.objects.filter(is_active=True).all() serializer_class = serializers.UserCenterSerializer
3、jwt认证示意图
1、jwt优点:
-
没有数据库写操作 => 高效
-
服务器不存在token => 低耗
-
签发校验都是算法 => 集群
2、基于session的认证(一般不使用)
3、基于session认证下的集群部署
4、基于jwt的认证
5、基于jwt认证下的服务器集群
4、jwt认证算法:签发与校验
1、jwt分三段式:头.体.签名 (head.payload.sign)
2、头和体是可逆加密,让服务器可以反解出user对象;签名是不可逆加密,保证整个token的安全性
3、头.体.签名三部分,都是采用json格式的字符串进行加密,可逆加密一般采用base64算法,不可逆加密一般采用hash(md5)算法
4、头中的内容是基本信息:公司信息、项目组信息、token采用的加密方式信息(一般不会变)
5、体中的内容是关键性信息:用户主键、用户名、签发是客户端信息(设备号、地址)、过期时间
6、签名中的内容是安全信息:头的加密结果+体的加密结果+服务器不对外公开的安全码,进行 md5 加密,{"head":"头的加密字符串","payload":"体的加密字符串","secret_key": "安全码"}
1、签发:根据登录请求提交的账号+密码+设备信息 签发token
-
用基本信息存储json字典,采用base64算法加密得到 头字符串
-
用关键信息存储json字典,采用base64算法加密得到 体字符串
-
用头加密字符串+体加密字符串+安全码信息存储json字典,采用hash md5算法加密得到 签名字符串
账户密码就能根据User表得到user对象,形成的三段字符串用 . 拼接成token返回给前台
2、校验:根据客户端带token的请求 反解出 user 对象
-
将token按 . 拆分为三段字符串,第一段:头加密字符串,一般不需要做任何处理
-
第二段:体加密字符串,要反解出用户主键,通过主键从User表中就能得到登录用户,过期时间和设备信息都是安全信息,确保token没过期,且同一个设备来的
-
再用 第一段+第二段+服务器安全码 不可逆md5加密,与第三段签名字符串进行对比校验,通过后才能代表第二段校验的user对象是合法用户
5、drf项目的jwt认证开发流程
-
用账号密码访问登录接口,登录接口逻辑中调用 签发token算法,得到token,返回给客户端,客户端自己存到cookies中
-
校验token的算法应该写在认证类中(在认证类中调用),全局配置给认证组件,所有视图类请求,都会进行认证校验,所以请求带了token,就会反解出user对象,在视图类中用request.user就能访问登录的用户
注:登录接口需要做认证+权限两个局部禁用
6、drf-jwt框架基本使用
1、安装
pip install djangorestframework-jwt
2、签发token(登录接口):视图类已经写好,配置一下路由就行(urls.py)
# api/urls.py urlpatterns = [ ... url('^login/$', ObtainJSONWebToken.as_view()), ] # Postman请求:/api/login/,提供username和password即可
3、校验token(认证组件):认证类已经写好了,全局配置一下认证组件就行了(settings.py)
# drf-jwt的配置 import datetime JWT_AUTH = { # 配置过期时间 'JWT_EXPIRATION_DELTA': datetime.timedelta(days=7), } # drf配置(把配置放在最下方) REST_FRAMEWORK = { # 自定义三大认证配置类们 'DEFAULT_AUTHENTICATION_CLASSES': ['rest_framework_jwt.authentication.JSONWebTokenAuthentication'], # 'DEFAULT_PERMISSION_CLASSES': [], # 'DEFAULT_THROTTLE_CLASSES': [], }
4、设置需要登录才能访问的接口进行测试(views.py)
from rest_framework.permissions import IsAuthenticated class UserCenterViewSet(GenericViewSet, mixins.RetrieveModelMixin): # 设置必须登录才能访问的权限类 permission_classes = [IsAuthenticated, ] queryset = models.User.objects.filter(is_active=True).all() serializer_class = serializers.UserCenterSerializer
测试:
1)用 {"username": "你的用户", "password": "你的密码"} 访问 post请求 /api/login/ 接口拿到 token 字符串
2)在请求头用 Authorization 携带 "jwt 登录得到的token" 访问 get请求 /api/user/center/1/ 接口访问个人中心