Django-REST-Framework JWT 实现SSO认证(下)
在上一篇博客中，我已经对JSON Web 认证做了简单的解释，这篇博客是续篇，若不了解，请看上一篇博客：https://www.cnblogs.com/yushenglin/p/10863184.html
一.安装djangorestframwork-jwt
二.用法
在你的settings.py，添加JSONWebTokenAuthentication到Django REST框架DEFAULT_AUTHENTICATION_CLASSES。
在您urls.py添加以下URL路由以启用通过POST获取令牌包括用户的用户名和密码。
如果您使用用户名admin和密码password123创建了用户，则可以通过在终端中执行以下操作来轻松测试端点是否正常工作。
或者，您可以使用Django REST框架支持的所有内容类型来获取身份验证令牌。例如：
现在，为了访问受保护的API，您必须包含Authorization: JWT <your_token>标题。
刷新令牌
如果JWT_ALLOW_REFRESH为True，则可以“刷新” 未过期的令牌以获得具有更新到期时间的全新令牌。添加这样的URL模式：
将现有令牌传递给刷新端点，如下所示：{"token": EXISTING_TOKEN}。请注意，只有非过期的令牌才有效。JSON响应看起来与正常获取令牌端点相同{"token": NEW_TOKEN}。
可以重复使用令牌刷新（令牌1 - >令牌2 - >令牌3），但此令牌链存储原始令牌（使用用户名/密码凭据获取）的时间，如orig_iat。您只能保持令人耳目一新的令牌JWT_REFRESH_EXPIRATION_DELTA。
一个典型的用例可能是一个Web应用程序，您希望让用户“登录”该站点而无需重新输入密码，或者在令牌过期之前被意外踢出。想象一下，他们有一个1小时的令牌，只是在他们还在做某事的最后一刻。使用移动设备，您可以存储用户名/密码以获取新令牌，但这在浏览器中不是一个好主意。每次用户加载页面时，您都可以检查是否存在现有的未过期令牌，如果它已接近过期，请刷新它以扩展其会话。换句话说，如果用户正在积极使用您的网站，他们可以保持他们的“会话”活着。
验证令牌
在一些微服务架构中，身份验证由单个服务处理。其他服务委派确认用户已登录此身份验证服务的责任。这通常意味着服务将从用户接收的JWT传递给身份验证服务，并在将受保护资源返回给用户之前等待JWT有效的确认。
使用验证端点在此包中支持此设置。添加以下URL模式：
将令牌传递给验证端点将返回200响应和令牌（如果有效）。否则，它将返回400 Bad Request以及识别令牌无效的错误。
其他设置
您可以覆盖一些其他设置，类似于您使用Django REST框架本身的方式。以下是所有可用的默认值。
这个包使用JSON Web Token Python实现PyJWT，并允许修改它的一些可用选项。
参数解释
JWT_SECRET_KEY
这是用于签署JWT的密钥。确保这是安全的，不共享或公开。
默认是您的项目settings.SECRET_KEY。
JWT_GET_USER_SECRET_KEY
这是JWT_SECRET_KEY的更强大版本。它是根据用户定义的，因此如果令牌被泄露，可以由所有者轻松更改。更改此值将使给定用户的所有令牌都无法使用。值应该是一个函数，接受用户作为唯一参数并返回它的密钥。
默认是None。
JWT_PUBLIC_KEY
这是一个类型的对象cryptography.hazmat.primitives.asymmetric.rsa.RSAPublicKey。它将用于验证传入JWT的签名。JWT_SECRET_KEY设置时将覆盖。阅读文档以获取更多详细信息。请注意，JWT_ALGORITHM必须设置为一个RS256，RS384或RS512。
默认是None。
JWT_PRIVATE_KEY
这是一个类型的对象cryptography.hazmat.primitives.asymmetric.rsa.RSAPrivateKey。它将用于签署JWT的签名组件。JWT_SECRET_KEY设置时将覆盖。阅读文档以获取更多详细信息。请注意，JWT_ALGORITHM必须设置为一个RS256，RS384或RS512。
默认是None。
JWT_ALGORITHM
可能的值是PyJWT中用于加密签名的任何支持算法。
默认是"HS256"。
JWT_VERIFY
如果秘密是错误的，它会引发一个jwt.DecodeError，告诉你这样。您仍然可以通过设置JWT_VERIFYto来获取有效负载False。
默认是True。
JWT_VERIFY_EXPIRATION
您可以通过设置JWT_VERIFY_EXPIRATION为关闭到期时间验证False。如果没有过期验证，JWT将永远存在，意味着攻击者可以无限期地使用泄露的令牌。
默认是True。
JWT_LEEWAY
这允许您验证过去但不是很远的过期时间。例如，如果您有一个JWT有效负载，其过期时间设置为创建后30秒，但您知道有时您将在30秒后处理它，您可以设置10秒的余地以获得一些余量。
默认为0秒。
JWT_EXPIRATION_DELTA
这是Python的一个实例datetime.timedelta。将添加此项datetime.utcnow()以设置到期时间。
默认为datetime.timedelta(seconds=300)（5分钟）。
JWT_AUDIENCE
这是一个字符串，将根据aud令牌的字段进行检查（如果存在）。
默认为None（如果audJWT上存在则失败）。
JWT_ISSUER
这是一个字符串，将根据iss令牌字段进行检查。
默认是None（不要检查issJWT）。
JWT_ALLOW_REFRESH
启用令牌刷新功能。发行的令牌rest_framework_jwt.views.obtain_jwt_token将有一个orig_iat字段。默认是False
JWT_REFRESH_EXPIRATION_DELTA
限制令牌刷新，是一个datetime.timedelta实例。这是在原始令牌之后可以刷新未来令牌的时间。
默认为datetime.timedelta(days=7)（7天）。
JWT_PAYLOAD_HANDLER
指定自定义函数以生成令牌有效内容
JWT_PAYLOAD_GET_USER_ID_HANDLER
如果您的存储user_id方式与默认的有效负载处理程序不同，请实现此功能以user_id从有效负载中获取。注意：将不赞成使用JWT_PAYLOAD_GET_USERNAME_HANDLER。
JWT_PAYLOAD_GET_USERNAME_HANDLER
如果您的存储username方式与默认的有效负载处理程序不同，请实现此功能以username从有效负载中获取。
JWT_RESPONSE_PAYLOAD_HANDLER
负责控制登录或刷新后返回的响应数据。覆盖以返回自定义响应，例如包括用户的序列化表示。
默认返回JWT令牌。
如：
默认是 {'token': token}
JWT_AUTH_HEADER_PREFIX
您可以修改需要与令牌一起发送的Authorization标头值前缀。默认值为JWT。此决定是在PR ＃4中引入的，以允许在DRF中同时使用此程序包和OAuth2。
用于令牌和授权标头的另一个常见值是Bearer。
默认是JWT。
JWT_AUTH_COOKIE
如果除了Authorization标头之外还要使用http cookie作为令牌的有效传输，则可以将其设置为字符串。您在此处设置的字符串将用作cookie名称，该名称将在请求令牌时在响应标头中设置。如果设置，令牌验证过程也将查看此cookie。如果请求中存在标头和cookie，则“授权”标头优先。
默认为None且在创建令牌时未设置cookie，在验证令牌时也不接受。
扩展 JSONWebTokenAuthentication
现在JSONWebTokenAuthentication假设JWT将在标题中，或者如果配置了cookie（请参阅JWT_AUTH_COOKIE）。JWT规范不要求这样做（参见：拨打服务电话）。例如，JWT可能会出现在查询字符串中。在用户无法设置标题（例如HTML中的src元素）的情况下，需要在查询字符串中发送JWT的能力。
要实现此功能，用户可以编写自定义Authentication：
建议使用BaseJSONWebTokenAuthentication一个新的基类，它没有解析HTTP头的逻辑。
手动创建新令牌
有时您可能希望手动生成令牌，例如在创建帐户后立即将令牌返回给用户。你可以这样做：
