JWT 实现
1. 基于传统的JWT认证
2. jwt
1. 基于传统的token认证
用户将用户名和密码发送给服务端，服务端返回其token值（uuid），并将其token值保存入库，以后用户再登录时需要携带token值进行验证。
例：login
class Login(APIView): def post(self, request, *args, **kwargs): ''' 获取用户名密码 与数据库是否一致 一致，生成uuid()值，保存数据库，返回给前端 ''' username = request.data.get('name') passwd = request.data.get('passwd') user_object = models.User_info.objects.filter(username=username, password=passwd).first() if not user_object: return Response({'code': 1001, 'error': '用户名或密码输入有误'}) random_string = str(uuid.uuid4()) user_object.token = random_string user_object.save() return Response({'code': 200, 'data': random_string})
例：order
class Order(APIView): def get(self, request): ''' query_params # 获取url中的token值 ''' token = request.query_params.get('token') if not token: return Response({'code': 2002, 'error': '登录成功后才能访问'}) user_obj = models.User_info.objects.filter(token=token).first() if not user_obj: return Response({'code': 2001, 'error': 'token不正确'}) return Response({'code': 200, 'data': '订单列表'})
2. jwt
用户登录，服务端返回token值（服务端不保存），以后用户再来访问需要携带token，服务端获取token，再做token检验。
优势： 相较于传统的jwt服务端不需要进行保存。
3. jwt 实现过程
用户提交用户名和密码给服务端，如果登录成功，使用jwt创建一个token，并给用户返回。
eyJ0eXAiOiJqd3QiLCJhbGciOiJIUzI1NiJ9. # 第一部分
eyJpZCI6MSwibmFtZSI6ImFkbWluIiwiZXhwIjoxNjA1NTI3NjkxfQ. # 第二部分
n9f7gShAedaVVhq2dkA8ClpJ5TI1AhCogalSqOLCjuU # 第三部分
注意：jwt 生产的token是由三段字符串组成，并用 . 连接起来。
第一段字符串，HEADER, 内部包含算法 （默认哈希256）/和token类型。
json转化成字符串，然后做base64url加密（base64加密；+ _）
# 构造header headers = { 'typ': 'jwt', 'alg': 'HS256' }
第二段字符串，payload,自定义值
json转化成字符串，然后做base64url加密（base64加密；+ _）
# 构造payload payload = { 'user_id': user_obj.id, # 自定义用户ID 'username': user_obj.username, # 自定义用户名 'exp': datetime.datetime.utcnow() + datetime.timedelta(minutes=1) # 超时时间 }
第三段字符串
第一步：第1，2部分密文拼接起来 eyJ0eXAiOiJqd3QiLCJhbGciOiJIUzI1NiJ9.eyJpZCI6MSwibmFtZSI6ImFkbWluIiwiZXhwIjoxNjA1NTI3NjkxfQ 第二步：对前2部分密文进行HS256加密 + 加盐 第三部：对HS256加密后的密文再做base65url 加密
以后用户再来访问的时候，需要携带token，后端需要对token进行校验，获取token
第一步：对token进行切割
eyJ0eXAiOiJqd3QiLCJhbGciOiJIUzI1NiJ9. # 第一部分 eyJpZCI6MSwibmFtZSI6ImFkbWluIiwiZXhwIjoxNjA1NTI3NjkxfQ. # 第二部分 n9f7gShAedaVVhq2dkA8ClpJ5TI1AhCogalSqOLCjuU # 第三部分
第二步：对第二部分进行base64url解密，并获取payload信息，检测token是否超时？
payload = { 'user_id': user_obj.id, # 自定义用户ID 'username': user_obj.username, # 自定义用户名 'exp': datetime.datetime.utcnow() + datetime.timedelta(minutes=1) # 超时时间 }
第三步：把第1，2端拼接，再次执行sha256加密。
第一步：第1，2部分密文拼接起来 eyJ0eXAiOiJqd3QiLCJhbGciOiJIUzI1NiJ9.eyJpZCI6MSwibmFtZSI6ImFkbWluIiwiZXhwIjoxNjA1NTI3NjkxfQ 第二步：对前2部分密文进行HS256加密 + 加盐 密文 = base64解密（n9f7gShAedaVVhq2dkA8ClpJ5TI1AhCogalSqOLCjuU）
例： 代码演示
pip install pyjwt
from rest_framework.response import Response from rest_framework.views import APIView class Jwt_login(APIView): def post(self, request, *args, **kwargs): username = request.data.get('username') password = request.data.get('password') SALT = 'qpo0rerngnejg3n5j3nk2' if not all([username, password]): return Response({'code': 10010, 'error': '输入完整的用户名密码'}) user_obj = models.User_info.objects.filter(username=username, password=password).first() if not user_obj: return Response({'code': 10020, 'error': '用户名密码不正确'}) # 构造header headers = { 'typ': 'jwt', 'alg': 'HS256' } # 构造payload payload = { 'user_id': user_obj.id, # 自定义用户ID 'username': user_obj.username, # 自定义用户名 'exp': datetime.datetime.utcnow() + datetime.timedelta(minutes=1) # 超时时间 } result = jwt.encode(payload=payload, key=SALT, algorithm="HS256", headers=headers).decode('utf-8') return Response({'code': 200, 'data': result})
from jwt import exceptions class Jwt_order(APIView): def get(self, request, *args, **kwargs): token = request.query_params.get('token') SALT = 'qpo0rerngnejg3n5j3nk2' msg = None if not token: return Response({'code': 3001, 'error': 'token值不能为空'}) try: payload = jwt.decode(token, SALT, True) return Response({'code':200,'data':payload}) except exceptions.ExpiredSignatureError: msg = 'token已失效' except jwt.DecodeError: msg = 'token认证失败' except jwt.InvalidTokenError: msg = '非法的token' return Response({'code':20020,'data':msg})
例： 代码演示2升级
# 在子应用中新建文件夹，新建py，将返回token值的代码写入 from app01.utils.jwt_auth import create_token class Pro_login(APIView): authentication_classes = [] def post(self, request, *args, **kwargs): username = request.data.get('username') password = request.data.get('password') if not all([username, password]): return Response({'code': 10010, 'error': '输入完整的用户名密码'}) user_obj = models.User_info.objects.filter(username=username, password=password).first() if not user_obj: return Response({'code': 10020, 'error': '用户名密码不正确'}) token = create_token({'id':user_obj.id,'name':user_obj.username},1) return Response({'code': 200, 'data': token})
# 子应用返回token代码如下 from django.conf import settings import jwt import datetime from rest_framework.response import Response def create_token(payload,timeout): SALT = settings.SECRET_KEY # 构造header headers = { 'typ': 'jwt', 'alg': 'HS256' } # 构造payload payload['exp'] = datetime.datetime.utcnow() + datetime.timedelta(minutes=timeout) # 超时时间 result = jwt.encode(payload=payload, key=SALT, algorithm="HS256", headers=headers).decode('utf-8') return result
# 在子应用新建文件夹，新建py,将token认证的代码写入 from app01.extensions.auth import JwtQueryParamsAuthentication class Pro_order(APIView): authentication_classes = [JwtQueryParamsAuthentication, ] # 类似于Django中间件，先执行这个 def get(self, request,*args, **kwargs): print(request.user) print(request.auth) return Response('订单列表')
from django.conf import settings from rest_framework.authentication import BaseAuthentication from rest_framework.exceptions import AuthenticationFailed from rest_framework.response import Response import jwt from jwt import exceptions ''' 获取token并判断token的合法性 1. 切割 2. 解密第二段/判断过期 3. 验证第三段的合法性 ''' class JwtQueryParamsAuthentication(BaseAuthentication): def authenticate(self, request): token = request.query_params.get('token') SALT = settings.SECRET_KEY if not token: raise AuthenticationFailed({'code':'token不存在'}) try: payload = jwt.decode(token, SALT, True) except exceptions.ExpiredSignatureError: raise AuthenticationFailed({'code':1,'error':"token已失效"}) except jwt.DecodeError: raise AuthenticationFailed({'code':2,'error':"token认证失败"}) except jwt.InvalidTokenError: raise AuthenticationFailed({'code':3,'error':"非法的token"}) return (payload, token) # 三种操作 # 1. 抛出异常，后续不执行 # 2. return一个元组 （1，2），认证通过，在视图中如果调用request.user就是调用第一个值，request.auth就是元祖的第二个值 # 3. None 表示下一次认证
例：代码演示3 全局
from app01.utils.jwt_auth import create_token class Pro_login(APIView): authentication_classes = [] # j加入后表示不受全局限制 def post(self, request, *args, **kwargs): username = request.data.get('username') password = request.data.get('password') if not all([username, password]): return Response({'code': 10010, 'error': '输入完整的用户名密码'}) user_obj = models.User_info.objects.filter(username=username, password=password).first() if not user_obj: return Response({'code': 10020, 'error': '用户名密码不正确'}) token = create_token({'id':user_obj.id,'name':user_obj.username},1) return Response({'code': 200, 'data': token}) from app01.extensions.auth import JwtQueryParamsAuthentication class Pro_order(APIView): # authentication_classes = [JwtQueryParamsAuthentication, ] # 类似于Django中间件，先执行这个 def get(self, request,*args, **kwargs): print(request.user) print(request.auth) return Response('订单列表')
用户登录返回token，与认证token不变。
REST_FRAMEWORK = { "DEFAULT_AUTHENTICATION_CLASSES" : ["app01.extensions.auth.JwtQueryParamsAuthentication", ] } # 在APIView 中底层有DEFAULT_AUTHENTICATION_CLASSES方法。
图片路径如下：
