DRF之JWT介绍与使用

JWT介绍和原理
使用JWT
自定义JWT
- 签发
- 认证

JWT介绍和原理

JWT即Json、Web、Token，只针对于web方向的token方式验证。在我们传统登录认证中，都是使用session来认证，而JWT是使用token来认证。

使用session认证时，session都是保存在服务器中，在进行认证过程中，都会去数据库中进行校验(IO操作)，效率低。

而token，它保存在客户端中，与cookie一样，也是服务器生成后返回给客户端的，token的格式是三个字符串拼到一起的：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

第一段我们称它为头部(header)；第二段我们称其为载荷（payload，一般都是用户id、用户名、token生效时间等)；第三段是签证（signature)，由第一段和第二段通过某种加密方式+秘钥加密得到的。

在认证过程中，服务器会先获取第一段和第二段的字符串，通过某种加密方式+秘钥加密得到的新字符串和第三段进行比较，如果一样，那就是认证成功。

token的第一段和第二段字符串其实是通过base64编码得到的，并不是加密后的字符串。

base64解码与解码：

import json
import base64

d = {'typ': 'JWT', 'alg': 'HS256'}
s = json.dumps(d)

# 把字符串进行b64编码
res = base64.b64encode(bytes(s, encoding='utf-8'))
print(res)

# 把b64编码的字符串，解码
b = b'eyJ0eXAiOiAiSldUIiwgImFsZyI6ICJIUzI1NiJ9'
res = base64.b64decode(b)
print(res)

使用JWT

JWT签发(生成token)

安装模块：

pip install djangorestframework-jwt

创建auth的user表用户。

createsuperuser

路由配置：

from rest_framework_jwt.views import obtain_jwt_token
urlpatterns = [
    path('login/', obtain_jwt_token),
]

向login/路由发送post请求，进行登录。

修改登录成功返回格式

登录成功后只会返回token数据，这样子可能不太好看，所以我们可以自定义返回提示信息。

首先写一个函数：

def my_jwt_response(token, user=None, request=None):
    return {'code': 100, 'msg': '登陆成功', 'token': token, 'username': user.username}

配置文件中添加：

JWT_AUTH = {
    # 过期时间7天
    'JWT_EXPIRATION_DELTA': datetime.timedelta(days=7),
    'JWT_RESPONSE_PAYLOAD_HANDLER': 'app01.utils.my_jwt_response',  # 函数路径
}

再次登录：

JWT认证

视图类：

from rest_framework.generics import ListAPIView
from rest_framework.permissions import IsAuthenticated
from rest_framework_jwt.authentication import JSONWebTokenAuthentication

class BookView(ListAPIView):
    queryset = Book.objects.all()
    serializer_class = BookSerializer
    # jwt认证类
    authentication_classes = [JSONWebTokenAuthentication, ]
    # jwt认证类有个小bug，需要配合IsAuthenticated类
    permission_classes = [IsAuthenticated, ]

    def get(self, request, *args, **kwargs):
        return super().list(request, *args, **kwargs)

访问books/路由，需要在请求头中添加token。

键：authorization
值：jwt + 空格 + token字符串

JWT认证不通过时有各种提示信息：比如

token过期

解码错误

自定义JWT

签发

用户表：

class User(models.Model):
    username = models.CharField(max_length=16)
    password = models.CharField(max_length=16)

登录视图：

from rest_framework_jwt.settings import api_settings
jwt_payload_handler = api_settings.JWT_PAYLOAD_HANDLER
jwt_encode_handler = api_settings.JWT_ENCODE_HANDLER

class LoginView(APIView):
    def post(self, request):
        username = request.data.get('username')
        password = request.data.get('password')
        user_obj = User.objects.filter(username=username, password=password).first()
        if user_obj:
            """登录成功，进行签发"""
            # 根据登录用户获取载荷
            payload = jwt_payload_handler(user_obj)
            print(payload)
            # 根据载荷获取token
            token = jwt_encode_handler(payload)
            return Response({'code': 100, 'msg': '登录成功', 'token': token})
        return Response({'code': 99, 'msg': '用户名或密码错误'})

路由配置：

urlpatterns = [
    path('login/', views.LoginView.as_view()),
]

认证

编写认证类：

from rest_framework.authentication import BaseAuthentication
from rest_framework.exceptions import AuthenticationFailed
from rest_framework_jwt.settings import api_settings

jwt_decode_handler = api_settings.JWT_DECODE_HANDLER

class LoginAuth(BaseAuthentication):
    def authenticate(self, request):
        # 从请求头获取token
        jwt_value = request.META.get('HTTP_TOKEN')
        try:
            # 根据token获取载荷
            payload = jwt_decode_handler(jwt_value)
        except Exception:
            raise AuthenticationFailed('你还未登录')
        # 根据载荷中存的用户id获取用户对象
        user = User.objects.filter(pk=payload['user_id'])
        return user, jwt_value

视图类：

class BookView(ListAPIView):
    queryset = Book.objects.all()
    serializer_class = BookSerializer
    # 添加自己编辑的认证类
    authentication_classes = [LoginAuth, ]
    def get(self, request, *args, **kwargs):
        return super().list(request, *args, **kwargs)

token错误、过期，或未携带，都提示未登录