django Rest Framework----认证/访问权限控制/访问频率限制 执行流程 Authentication/Permissions/Throttling 源码分析
url：
url(r'books/$',views.BookView.as_view({'get':'list','post':'create'})) 为例
当django启动的时候，会调用执行view.BookView.as_view()方法，拿到as_view的返回值view
url(r'books/$',View.view)
当用户访问books/的时候，会执行View.view(). 执行APIView.dispatch()
当用户访问books/时，django拿到request，然后对request进行了重新封装
并且进行用户认证
url(r'books/$',View.view) ---> 执行 self.dispatch()
APIView.dispatch()
def dispatch(self, request, *args, **kwargs): ... request = self.initialize_request(request, *args, **kwargs) self.request = request try: self.initial(request, *args, **kwargs) ....
request = self.initialize_request(request, *args, **kwargs)
def initialize_request(self, request, *args, **kwargs): #返回一个Request对象 return Request( ... authenticators=self.get_authenticators(), ... ) def get_authenticators(self): # 循环视图类authentication_classes # 使用列表推导式，生成每一个实例对象 return [auth() for auth in self.authentication_classes]
回到dispatch()中，继续向下执行self.inital(request,*args,**kwags)
def initial(self, request, *args, **kwargs): ... # 认证 self.perform_authentication(request) # 权限 self.check_permissions(request) # 访问频率限制 self.check_throttles(request)
对于用户认证，我们主要看 self.perform_authentication(request) 干了什么
def perform_authentication(self, request): # 调用了request.user 属性方法 request.user
@property def user(self): if not hasattr(self, '_user'): with wrap_attributeerrors(): # 调用 _authenticate 此时的self是request对象 self._authenticate() return self._user def _authenticate(self): # 此时的self是request ，authenticator每一个验证类对象 for authenticator in self.authenticators: try: # 使用authenticator调用它的authenticate() 返回一个元组 #元组的第一个值是request.user,第二个值是request.auth user_auth_tuple = authenticator.authenticate(self) except exceptions.APIException: # 如果没有验证通过，抛出异常 self._not_authenticated() raise # 如果 user_auth_tuple 不为空的话，证明authenticator.authenticate(self) 返回了数据 # **** 有多个验证类的话，最后一个认证类返回值，其他验证类不要返回 # 否则，这个验证类之后的所有验证类都不会被执行 # 如果返回值不为None，赋值后 将会跳出循环 if user_auth_tuple is not None: self._authenticator = authenticator # 进行赋值 self.user, self.auth = user_auth_tuple # 跳出for循环, 验证通过 return self._not_authenticated()
认证执行流程：
1. 查看settings.py中是否配置了作用于全局的REST_FRAMEWORK配置，如果有，就是用全局
2. 如果settings.py没有配置，就去视图类中(本例是BookView)查看是否配置了authentication_classes
3. 以上都没有配置，就是用默认的，在APIView中配置
自定义一个认证
class BookAuthen(): def authenticate(self,request): #获取token，检验token是否正确，如果正确则，验证通过 #否则抛出异常 token_val = request.GET.get('token') user_obj = models.User.objects.filter(token__token=token_val).first() if user_obj: return user_obj.name,token_val else: raise exceptions.AuthenticationFailed def authenticate_header(self,request): pass class BookView(ModelViewSet): # 如果提供，就执行BookAuthen，如果没有提供，使用APIView提供的 authentication_classes = [BookAuthen,] queryset = models.Book.objects.all() serializer_class = BookModelSerializer
全局配置(settings.py)：
REST_FRAMEWORK= { 'DEFAULT_AUTHENTICATION_CLASSES': ( 'bookmanage.auth.authen.BookAuthen', 'rest_framework.authentication.SessionAuthentication', 'rest_framework.authentication.BasicAuthentication' ) }
默认配置(APIView)：
class APIView(View): ... # 首先api_settings没有DEFAULT_AUTHENTICATION_CLASSES 所以会调用apisetting.__getattr__() authentication_classes = api_settings.DEFAULT_AUTHENTICATION_CLASSES ...
二、访问频率限制
访问频率限制和用户认证流程几乎相同
首先看url
url(r'books/$',views.BookView.as_view({'get':'list','post':'create'})) 为例
django启动时
去执行BookView.as_view()方法--->APIView.as_view()-->最终返回的是APIView.view url(r'books/$',views.BookView.as_view({'get':'list','post':'create'})) url(r'books/$',APIView.view)
用户访问时
执行APIView.view(),其中它调用了父类的as_view(),实际上什么都没做
执行self.dispatch(),执行的是APIView.dispatch()
self.initial(request, *args, **kwargs)
调用了 --> self.check_throttles(request) #此时的self是BookView视图类
dispatch()中，self.inital(request,*args,**kwags) --> self.check_throttles(request)
def get_throttles(self): """ 遍历视图类中的throttle_classes 拿到每一个自定义访问频率限制类的实例对象 """ return [throttle() for throttle in self.throttle_classes] def check_throttles(self, request): for throttle in self.get_throttles(): # 拿到自定义访问频率限制类的实例对象,调用allow_request() if not throttle.allow_request(request, self): # 如果没有通过验证,执行self.throttled()抛出异常 self.throttled(request, throttle.wait())
自定义访问频率限制类
# 限制IP频繁访问 class VisitThrottle(object): detail = "访问频率不正常" def allow_request(self,request, obj): now_time = str(time.time()) if request.session.get('visittime'): visited = request.session.get('visittime') visited.append(now_time) request.session['visittime'] = visited if len(visited) >= 20: first = visited[-2] last = visited[-1] time_ = time.gmtime(float(last) - float(first)) print(time_) if time_.tm_min > 1: request.session['visittime'] = [] return True elif time_.tm_min <= 1: raise exceptions.Throttled(detail=self.detail) else: request.session['visittime'] = [now_time,] print(request.META.get('REMOTE_ADDR')) return True class BookView(ModelViewSet): #在视图类中配置自定义频率访问组件 throttle_classes = [VisitThrottle] queryset = models.Book.objects.all() serializer_class = BookModelSerializer
默认访问频率限制
由于每一个视图类都是继承自APIView,
如果配置throttle_classes,就使用自定义的
如果没配置throttle_classes,APIView配置了默认的
class APIView(View): .... # 由于api_settings没有DEFAULT_THROTTLE_CLASSES，会调用api_setting的__getattr__() throttle_classes = api_settings.DEFAULT_THROTTLE_CLASSES .... api_settings = APISettings(None, DEFAULTS, IMPORT_STRINGS) class APISettings(object): def __init__(self, user_settings=None, defaults=None, import_strings=None): #不会进入 if user_settings: self._user_settings = self.__check_user_settings(user_settings) # 将DEFAULTS 复制给 self.defaults self.defaults = defaults or DEFAULTS @property def user_settings(self): if not hasattr(self, '_user_settings'): self._user_settings = getattr(settings, 'REST_FRAMEWORK', {}) return self._user_settings def __getattr__(self, attr): if attr not in self.defaults: raise AttributeError("Invalid API setting: '%s'" % attr) try: # self.user_settings : 它从settings.py中取找 是否存在 REST_FRAMEWORK配置项 # 如果有,因为他是一个字典,取[DEFAULT_THROTTLE_CLASSES]对应的路径自定义访问频率类 val = self.user_settings[attr] except KeyError: # 如果没有,就使用默认的 # self.defaults[DEFAULT_THROTTLE_CLASSES] val = self.defaults[attr] .... return val
全局配置
1. 此时,应该将自定义的访问频率组件提取出来单独放在一个py文件中
2. 指定路径类
3. 所有的url访问都会进行访问频率限制
REST_FRAMEWORK= { 'DEFAULT_AUTHENTICATION_CLASSES': ( 'bookmanage.auth.authen.BookAuthen', ), 'DEFAULT_THROTTLE_CLASSES':( 'bookmanage.auth.throttle.VisitThrottle' ) }
