复习
"""
1、APIView
as_view:禁用csrf
dispatch:请求、响应、解析、渲染、异常、三大认证
一系列类属性:全局局部配置
作用:drf最底层视图,所有视图类之间或间接继承该类,理论上可以完成一切接口需求
2、GenericAPIView
三个方法:get_queryset、get_serializer、get_object
三个属性:queryset、serializer_class、lookup_url_kwarg
作用:将与Model、Serializer以及确定唯一对象的key这些变化量交于用户自己配置,查询这些配置的逻辑封装成方法,得以复用;这样处理,使GenericAPIView类及其子类处理与Model相关的接口需求更方便
3、mixins
五个工具类:CreateModelMixin、Destroy、Update、Retrieve、List
六个工具方法:create、destroy、update、partial_update、retrieve、list
作用:将GenericAPIView的封装方法进行整合形参增删改查的业务逻辑
4、ListAPIView...
就是不同种类不同个数的mixins中的类与GenericAPIView类的组合,形成的子类
作用:用户继承相应的工具视图类,进行queryset、serializer_class、lookup_url_kwarg配置,就可以完成对应功能的接口
5、视图集
ViewSetMixin类重写了as_view:
1) 局部禁用csrf,同APIView类的as_view
2) 在此基础上,还接收外界的{}参数,存在actions中,{}参数就是让用户自定义请求的映射关系
{'get': 'my_get'} => get请求会交给视图类的my_get函数进行处理
ViewSet:能自定义映射的APIView子类
GenericViewSet:能自定义映射的GenericAPIView子类
6、路由组件
from django.conf.urls import url, include
from . import views
from rest_framework.routers import SimpleRouter
router = SimpleRouter()
router.register('books', views.BookGenericViewSet, basename='book')
urlpatterns = [
url(r'', include(router.urls))
]
"""
jwt认证规则
"""
jwt: json web token
优点:
1)数据库不需要存储token,所以服务器的 IO 操作会减少(没有IO写操作)
2)客户端存Token,服务器只存储签发与校验算法,执行效率高
3)签发与校验算法在多个服务器上可以直接统一,所以jwt认证规则下,服务器做集群非常便捷
突破点:
1)token必须要有多个部分组成,有能反解的部分,也要有不能反解的部分 - jwt采用的都是三段式
2)token中必须包含过期时间,保证token的安全性与时效性
jwt原理:
1)jwt由 头.载荷.签名 三部分组成
2)每一部分数据都是一个json字典,头和载荷采用 base64 可逆加密算法加密,签名采用 HS256 不可逆加密
内容:
1)头(基本信息):可逆不可逆采用的加密算法、公司名称、项目组信息、开发者信息...
{
"company": "小女孩",
...
}
2)载荷(核心信息):用户主键、用户账号、客户端设备信息、过期时间...
{
'pk': 1,
...
}
3)签名(安全信息):头的加密结果、载荷的加密结果、服务器的安全码(盐)...
{
"header": "..."
...
}
签发算法:
1)头内容写死(可以为空{}):公司、项目组信息都是固定不变的
=> 将数据字典转化成json字符串,再将json字符串加密成base64字符串
2)载荷的内容:用户账号、客户端设备信息是由客户端提供,用户主键是客户端提供账号密码校验User表通过后才能确定,过期时间根据当前时间与配置的过期时间相结合产生
=> 将数据字典转化成json字符串,再将json字符串加密成base64字符串
3)签名的内容,先将头的加密结果,载荷的加密结果作为成员,再从服务器上拿安全码(不能让任何客户端知道),也可以额外包含载荷的部分(用户信息,设备信息)
=> 将数据字典转化成json字符串,再将json字符串不可逆加密成HS256字符串
4)将三个字符串用 . 连接产生三段式token
校验算法:
1)从客户端提交的请求中拿到token,用 . 分割成三段(如果不是三段,非法)
2)头(第一段)可以不用解密
3)载荷(第二段)一定需要解密,先base64解密成json字符串,再转换成json字典数据
i)用户主键与用户账号查询User表确定用户是否存在
ii)设备信息用本次请求提交的设备信息比对,确定前后是否是同一设备,决定是否对用户做安全提示(eg:短信邮箱提示异地登录)(同样的安全保障还可以为IP、登录地点等)
iii)过期时间与当前时间比对,该token是否在有效时间内
4)签名(第三段)采用加密碰撞校验
i)将头、载荷加密字符串和数据库安全码形成json字典,转换成json字符串
ii)采用不可逆HS256加密形成加密字符串
iii)新的加密字符串与第三段签名碰撞比对,一致才能确保token是合法的
5)前方算法都通过后,载荷校验得到的User对象,就是该token代表的登录用户(Django项目一般都会把登录用户存放在request.user中)
刷新算法:
1)要在签发token的载荷中,额外添加两个时间信息:第一次签发token的时间,最多往后刷新的有效时间
2)每一请求携带token,不仅走校验算法验证token是否合法,还要额外请求刷新token的接口,完成token的刷新:校验规则与校验算法差不多,但是要将过期时间后移(没有超过有效时间,产生新token给客户端,如果超过了,刷新失败)
3)所以服务器不仅要配置过期时间,还需要配置最长刷新时间
"""