三大认证
认证组件
认证情况分为三种：合法用户，非法用户，游客登录
RBAC模型：
RBAC：基于角色的访问控制，也就是 Who对What(Which)进行How的操作 ， 其中who——是权限的拥有者或主体（如：User、Role），what——是资源或对象（Resource、Class)
传统的RBAC有两种：权限三表 和 权限五表，权限三表 => 权限五表
Django中auth组件采用的是权限六表（在传统RBAC基础上增加UP关系表）
通过User表，Group表，Permission表之间建立多对多的关系，产生相互关联的六张表，这样可以在进行分组的时候，将用户的权限分发给多个用户，不用逐一进行分发。
在django中，使用auth模块建立用户表的时候，用户管理表一定要在第一次数据库迁移时完成
is_active：是否是活跃用户，改成 0 表示被删除
is_staff：是否是后台用户，可以操作admin的
权限组件
判断用户的权限是否可以访问，划分用户的权限级别
有权限
无权限
频率组件
限制访问每时间段的访问频率
jwt认证规则
jwt：json web token
jwt认证优点：
1.数据库不需要存储token，所以服务器的IO操作会减少（没有IO操作）
2.客户端存token，服务器只存储签发与校验算法，执行效率高
3.签发与校验算法在多个服务器上可以直接统一，所以jwt认证规则下，服务器做集群非常便捷
jwt认证突破点：
1.token必须要有多个部分组成，有能反解的部分，也要有不能反解8/的部分，jwt采用的都是三段式
2.token中必须包含过期时间，保证token安全性与时效性
jwt原理：
1.jwt由 头.载荷.签名 三部分组成
2.每一部分数据都是一个json字典，头和载荷采用base64可逆加密算法加密，签名采用HS256不可逆加密
内容：
1.头（基本信息）：可逆不可逆采用的加密算法，公司名称，项目组信息，开发者信息
2.载荷（核心信息）：用户主键，用户账号，客户端设备信息，过期时间（必须加）
3.签名（安全信息）：头的加密结果，载荷的加密结果，服务器的安全码（盐）
签发算法：
1.头内容写死（可以为空{ }），将数据字段转换成json字符串加密成 base64 字符串
2.载荷的内容，用户账号，客户端设备信息是由客户端提供，用户主键是客户端提供账号密码校验User表通过后才能确定，过期时间根据当前时间与配置的过期时间相结合产生
3.签名的内容，先将头的加密结果，载荷的加密结果作为成员，再从服务器上拿安全码（不能让任何客户端知道），也可以额外包含载荷的部分（用户信息，设备信息）
4.将三个字符串用 . 连接产生三段式token
校验算法：
1.从客户端提交的请求中拿到token，用 . 分割成三段（如果不是三段，非法）
2.头（第一段）可以不用解密，
3.载荷（第二段）一定需要解密，先base64解密成json字符，再转换成json字典数据，
用户主键与用户账号查询User表确定用户是否存在，
设备信息用本次请求提交的设备信息对比，确定前后是否是同一设备，决定是否对用户做安全提示，（eg：短信邮箱提示异地登陆）（同样的安全保障还可以为IP，登陆地点等）
过期时间与当前实践对比，该token是否在有效时间内
4.签名（第三段）采用加密碰撞校验，
将头，载荷，加密字符串和数据库安全码形成json字典，转换成json字符串
采用不可逆HS256加密形成加密字符串
新的加密字符串与第三段签名碰撞对比，一直才能确保token是合法的
5.前方算法都通过后载荷校验得到的User，就是该token代表的登录用户（Django项目一般都会把登录用户存放在request.user中）
刷新算法：
1.要在签发token的载荷中，额外添加两个时间信息：第一次签发token的时间，最多往后刷新的有效时间
2.每一次请求携带token，不仅走校验算法，验证token是否合法，还要额外请求刷新token的接口，完成token的刷新，校验规则与校验算法差不多，但是要将过期时间后移（没有超过有效时间，产生新token给客户端，如果超过了，刷新失败）
3.所以服务器不仅要配置过期时间，还要配置最长刷新时间