DRF的JWT用户认证
- JWT的认证规则
- JWT的使用

DRF的JWT用户认证

从根本上来说,JWT是一种开放的标准(RFC 7519), 全称为json web token ,其存在的意义在于,对于前后端分离的项目来说,后端不需要存储token,主需要存储签发和校验token的算法,所以我们需要在前端存储token,然后通过JWT加密之后传送给后端,从而完成校验.

JWT算法认证的最大优点在于适合服务器集群部署,这样对于比较大的项目可以从根本上提升并发量.

JWT的认证规则

JWT的格式

jwt的格式是三段式,即header(头) . payload(负载) . Signature(签名),其中头和载负载采用的是base64可逆的加密,签名采用的则是md5不可逆的加密,具体如下:

头(基础信息): 包含两部分,token类型以及采用的加密算法
载负载(核心信息): 主要是用户信息,过期时间等
签名(安全保证): 包括三方面,即头加密结果+载荷加密结果+服务器秘钥,采用的是md5加密

我们的后台一定要保证服务器秘钥的安全,因为在jwt里面服务器秘钥是唯一的安全保障

JWT认证的流程

后台签发token -> 前台存储 -> 前台想后台发送需要认证的请求且携带token -> 后台校验token得到合法的用户

JWT模块的导入为

# 在cmd或者Terminal窗口中:
pip install djangorestframework-jwt

# 模块包名为rest_framework_jwt

JWT的使用

JWT最常用的是三个接口,签发token,校验token以及刷新token,我们可以分别在urls.py里面导入

# /urls.py
from django.conf.urls import url
from . import views

from rest_framework_jwt.views import ObtainJSONWebToken, obtain_jwt_token, verify_jwt_token, refresh_jwt_token
urlpatterns = [
    # drf-jwt三个视图接口
    url(r'^login/$', obtain_jwt_token),
    url(r'^verify/$', verify_jwt_token),
    url(r'^refresh/$', refresh_jwt_token),
]

# 导入之后,我们还需要在settings.py里面配置相关的JWT的配置项
# /settings.py

import datetime
JWT_AUTH = {
    # 设置JWT的过期时间
    'JWT_EXPIRATION_DELTA':datetime.timedelta(days=7),
    
    # 自定义jwt插件的配置
    'JWT_PEFRESH_EXPIRATION_DELTA':detetime.timedelta(days=7),
    
    # 设置JWT的头
    'JWT_AUTH_HEADER_PREFIX':'JWT'
}

下面我们就用代码来实现jwt的整个逻辑,大概逻辑如下:

视图类中,将请求数据交给序列化完成校验,然后返回用户信息和对应token
序列化类,自定义反序列化的字段,利用全局钩子校验数据得到user和token,并且保存在序列化类对象中
token可以采用jwt插件的rest_framework_jwt.serializers中jwt_payload_handler，jwt_encode_handler来完成签发

下面我们做一个实例,该小例子实现了用户的多方式登录:

# urls.py
from django.conf.urls import url
from . import views

urlpatterns = [

    url(r'^login/$', views.LoginAPIView.as_view())
]

# serializers.py
from rest_framework.serializers import ModelSerializer, CharField, ValidationError, SerializerMethodField
from . import models
import re
from rest_framework_jwt.serializers import jwt_payload_handler, jwt_encode_handler
class LoginSerializer(ModelSerializer):
    # 定义用户名和密码两个仅支持反序列化的字段
    username = CharField(write_only=True)
    password = CharField(write_only=True)
    class Meta:
        model = models.User
        fields = ('username', 'password')

    # 在全局钩子中签发token
    def validate(self, attrs):
        user = self._many_method_login(**attrs)
        # 将数据存放到序列化对象中
        payload = jwt_payload_handler(user)
        token = jwt_encode_handler(payload)

        self.user = user
        self.token = token

        return attrs

    # 多方式登录
    def _many_method_login(self, **attrs):
        username = attrs.get('username')
        password = attrs.get('password')
        # 正则匹配,如果有@符号,则判定为邮箱登录
        if re.match(r'.*@.*', username):
            user = models.User.objects.filter(email=username).first() 
            
        # 如果是11位数字且开头为1,判定为手机登录
        elif re.match(r'^1[0-9]{10}$', username):
            user = models.User.objects.filter(mobile=username).first()
            
        # 两个都不匹配的话,就判定为用户名登录
        else:
            user = models.User.objects.filter(username=username).first()

        # 如果用户不存在,就是信息有误
        if not user:
            raise ValidationError({'username': '账号有误'})
        
        # 如果用户存在,但是检测密码有问题,报错密码有误
        if not user.check_password(password):
            raise ValidationError({'password': '密码有误'})

        return user
    
# views.py
from rest_framework.views import APIView
from . import models, serializers
from utils.response import APIResponse
class LoginAPIView(APIView):
    authentication_classes = []
    permission_classes = []
    
    # 以post的方式接受前台发送的数据
    def post(self, request, *args, **kwargs):
        # 将前台传来的数据传送到序列化对象中,完成校验
        serializer = serializers.LoginSerializer(data=request.data)
        serializer.is_valid(raise_exception=True)
        return APIResponse(msg='login success', data={
            'username': serializer.user.username,
            'token': serializer.token
        })