DRF JWT认证进阶

2024-04-27 08:04
文章标签 进阶 认证 jwt drf

本文主要是介绍DRF JWT认证进阶,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

JWT认证进阶

【0】准备工作

(1)模型准备

  • 模型准备(继承djangoauth_user表)
from django.db import models
from django.contrib.auth.models import AbstractUserclass UserInfo(AbstractUser):mobile = models.CharField(max_length=11, verbose_name='手机号码')
  • 添加配置文件,修改用户模型表为自定义表
AUTH_USER_MODEL = 'app名称.UserInfo'

(2)知识点绑定方法

  • 详情请见:Python 面向对象之绑定和非绑定方法_python 绑定方法-CSDN博客
  • 实例方法
    • 对象调用实例方法时(对象.实例方法()),自动将对象当作第一个参数传入
    • 类调用实例方法时(类.实例方法(类())),需要手动传入一个实例
  • 类方法
    • 类调用类方法时(类.类方法()),自动将类当作第一个参数传入
    • 对象调用类方法时(对象.类方法()),自动将对象的类当作第一个参数传入
  • 简单示例
class A:def __init__(self, name):self.name = name@classmethoddef hi(cls):print(f"{cls.__name__} say hi")def hello(self):print(f"{self.name} say hello")a = A('bruce')
# 实例调用类方法,自定将类传入
a.hi()
# 类调用实例方法,需要手动将实例对象传入
A.hello(a)

(3)保存信息显示中文

  • 在配置文件中注册app就可以
INSTALLED_APPS = ['rest_framework_simplejwt',
]

【1】jwt配置文件

(1)整体查看

  • 这些内容都在from rest_framework_simplejwt import settings可以自己去查看
DEFAULTS = {"ACCESS_TOKEN_LIFETIME": timedelta(minutes=5),# 访问令牌的有效期。这里设置为5分钟。"REFRESH_TOKEN_LIFETIME": timedelta(days=1),# 刷新令牌的有效期。这里设置为1天。"ROTATE_REFRESH_TOKENS": False,# 是否每次使用刷新令牌时都生成新的刷新令牌。这里设置为False。"BLACKLIST_AFTER_ROTATION": False,# 刷新令牌在旋转后是否应该被加入黑名单。这里设置为False。"UPDATE_LAST_LOGIN": False,# 是否在每次验证令牌时更新用户的最后登录时间。这里设置为False。"ALGORITHM": "HS256",# 用于签名的算法。这里使用的是HS256。"SIGNING_KEY": settings.SECRET_KEY,# 用于签名的密钥。这里使用的是Django的SECRET_KEY。"VERIFYING_KEY": "",# 用于验证令牌的密钥。这里没有设置。"AUDIENCE": None,# JWT的接收者。这里没有设置。"ISSUER": None,# JWT的签发者。这里没有设置。"JSON_ENCODER": None,# 用于序列化JWT负载的JSON编码器。这里没有设置。"JWK_URL": None,# JSON Web Key Set的URL,用于公钥检索。这里没有设置。"LEEWAY": 0,# 在验证JWT的时间戳时允许的时间误差(秒)。这里设置为0。"AUTH_HEADER_TYPES": ("Bearer",),# 认证头中可以接受的令牌类型。这里设置为只接受"Bearer"类型。"AUTH_HEADER_NAME": "HTTP_AUTHORIZATION",# 认证头的名称。这里设置"USER_ID_FIELD": "id",# 用户的ID字段名。这里设置为"id"。"USER_ID_CLAIM": "user_id",# JWT中用户ID的声明名称。这里设置为"user_id"。"USER_AUTHENTICATION_RULE": "rest_framework_simplejwt.authentication.default_user_authentication_rule",# 用于验证用户的规则。这里使用的是默认规则。"AUTH_TOKEN_CLASSES": ("rest_framework_simplejwt.tokens.AccessToken",),# l令牌类。这里设置为只使用访问令牌。"TOKEN_TYPE_CLAIM": "token_type",# 用于表示用户的模型类。这里使用的是默认模型。"JTI_CLAIM": "jti",#  JWT的JTI(JWT ID)声明名称。这里设置为"jti"。"TOKEN_USER_CLASS": "rest_framework_simplejwt.models.TokenUser",# 用于表示用户的模型类。这里使用的是默认模型。"SLIDING_TOKEN_REFRESH_EXP_CLAIM": "refresh_exp",# 滑动刷新令牌中的过期声明名称。这里设置为"refresh_exp"。"SLIDING_TOKEN_LIFETIME": timedelta(minutes=5),# 滑动访问令牌的有效期。这里设置为5分钟。"SLIDING_TOKEN_REFRESH_LIFETIME": timedelta(days=1),# 滑动刷新令牌的有效期。这里设置为1天。"TOKEN_OBTAIN_SERIALIZER": "rest_framework_simplejwt.serializers.TokenObtainPairSerializer",# 用于获取令牌的序列化器。这里使用默认的序列化器。"TOKEN_REFRESH_SERIALIZER": "rest_framework_simplejwt.serializers.TokenRefreshSerializer",# 用于刷新令牌的序列化器。这里使用默认的序列化器。"TOKEN_VERIFY_SERIALIZER": "rest_framework_simplejwt.serializers.TokenVerifySerializer",# 用于验证令牌的序列化器。这里使用默认的序列化器。"TOKEN_BLACKLIST_SERIALIZER": "rest_framework_simplejwt.serializers.TokenBlacklistSerializer",# 用于黑名单令牌的序列化器。这里使用默认的序列化器。"SLIDING_TOKEN_OBTAIN_SERIALIZER": "rest_framework_simplejwt.serializers.TokenObtainSlidingSerializer",# 用于获取滑动令牌的序列化器。这里使用默认的序列化器。"SLIDING_TOKEN_REFRESH_SERIALIZER": "rest_framework_simplejwt.serializers.TokenRefreshSlidingSerializer",# 用于刷新滑动令牌的序列化器。这里使用默认的序列化器。"CHECK_REVOKE_TOKEN": False,# 是否检查令牌是否已被撤销。这里设置为False。"REVOKE_TOKEN_CLAIM": "hash_password",# 用于撤销令牌的声明名称。这里设置为"hash_password"。
}

(2)常用的配置

  • ACCESS_TOKEN_LIFETIME: 访问令牌的有效期。这里设置为5分钟。

  • REFRESH_TOKEN_LIFETIME: 刷新令牌的有效期。这里设置为1天。

  • TOKEN_OBTAIN_SERIALIZER:可自定义登录的序列化器

【2】定制登录返回格式

(1)定制整体返回格式

  • jwt默认返回格式是一个字典,包含两个键值对
    • 一个是刷新相关的token,另一个是登录相关的token
  • 我们期望的格式是一个大字典,包含返回自定义状态码code、描述信息msg、用户名username和默认的两个token
    • 所以需要我们自定义,这里的方法是替换默认的登录序列化类,自定义序列化类以实现自定义的返回整体格式
  • 通过默认配置:
    • "TOKEN_OBTAIN_SERIALIZER": "rest_framework_simplejwt.serializers.TokenObtainPairSerializer"
    • 可知道这个类是负责登录序列化的,为了方便,继承它,重写它的方法,添加自定义的属性
    • 通过简单观察源码发现,返回的内容就是validate里面的data,所以只需要在这个data中添加修改一下字段就可以

image-20240419195240224

  • 代码
from rest_framework_simplejwt.serializers import TokenObtainPairSerializerclass JWTTokenPairSerializer(TokenObtainPairSerializer):def validate(self, attrs):data = super().validate(attrs)new_data = {"code": 100,"msg": '登录验证成功',"username": self.user.username,"refresh": data.get("refresh"),"access": data.get("access"),}return new_data
# 配置文件替换默认的序列化类
SIMPLE_JWT ={'TOKEN_OBTAIN_SERIALIZER':'自定义序列化类的位置.JWTTokenPairSerializer'
}# 使用默认的JWT登录
from django.urls import path
from rest_framework_simplejwt.views import token_obtain_pair
urlpatterns = [path('v0/login/', token_obtain_pair),
]

image-20240419200640456

(2)定制payload载荷

  • 默认载荷部分包含了

    • token_type表示这是一个访问令牌(access token)
    • exp是令牌的过期时间(UNIX时间戳)
    • iat是令牌的签发时间
    • jti是令牌的唯一标识符
    • user_id是用户ID
  • 现在思考如何添加自定义字段,比如用户的用户名

    • 还是通过一步一步的找token,最终找到了载荷payload,是一个字典所以可以尝试,像普通字典一样添加新的信息
    • 注意:这里面虽然有类方法,但是无论是self还是super都是实例对象,可以直接调用类方法

PixPin_2024-04-19_20-29-49

  • 代码:还是修改序列化类
from rest_framework_simplejwt.serializers import TokenObtainPairSerializerclass JWTTokenPairSerializer(TokenObtainPairSerializer):@classmethoddef get_token(cls, user):token = super().get_token(user)token['username'] = user.usernamereturn token
  • 检查,添加成功
import base64s = 'token第二段==='
res = base64.b64decode(s.encode('utf8'))
# b'{"token_type":"access","exp":1713528635,"iat":1713528335,"jti":"cc57595cd70f4938baa4673a6f1538ad","user_id":1}
# b'{"token_type":"access","exp":1713530348,"iat":1713530048,"jti":"6807d0722efb41bba01742a44767c18d","user_id":1,"username":"admin"}'

【3】多方式登录

(1)简介

  • 实际的案例中,登录的方式有很多种,既可以是用户名,还可以是手机号,还可以是邮箱等,并且他们的登录输入入口都是一个,所以这里将实现这种接口

image-20240419203858725

(2)登录视图函数和路由

  • 序列化类有检验功能,所以重心不在这里
# 路由层
from django.urls import path, include
from rest_framework.routers import SimpleRouter
from .views import JWTLoginAPIViewrouter = SimpleRouter()
router.register('', JWTLoginAPIView, basename='login')
urlpatterns = [path('v1/', include(router.urls)),
]
# 视图层
from rest_framework.viewsets import GenericViewSet
from .serializer import JWTTokenSerializer
from rest_framework.response import Response
from rest_framework.decorators import actionclass JWTLoginAPIView(GenericViewSet):serializer_class = JWTTokenSerializer@action(methods=['post'], detail=False)def login(self, request, *args, **kwargs):ser = self.get_serializer(data=request.data)if ser.is_valid():refresh = ser.context.get('refresh')access = ser.context.get('access')return Response({"code": 100, "msg": "登录验证成功", "refresh": refresh, "access": access})return Response({"code": 100, "msg": ser.erros})

(3)序列化类

  • 序列化类的检验分为三个过程,首先是字段参数(包括validators),然后是局部钩子,最后是全局钩子
  • 由于需要校验用户输入字段和密码字段,所以使用全局钩子
  • 整体逻辑
    • 使用不同方法区分传入的值是电话,还是邮箱,还是手机号
    • 由于使用的是django的用户表,所以要用相应的加密方法判断密码
    • 在定制载荷payload中,知道了RefreshToken处理token,所以要调用这个类的类方法for_user处理
import refrom rest_framework import serializers
from rest_framework.exceptions import ValidationError
from rest_framework_simplejwt.tokens import RefreshToken
from .models import UserInfoclass JWTTokenSerializer(serializers.Serializer):username = serializers.CharField()password = serializers.CharField()def validate(self, attrs):username = attrs.get('username')password = attrs.get('password')if re.match(r'^1[3-9][0-9]{9}$', username):user = UserInfo.objects.filter(username=username).first()elif re.match(r"/^([a-z0-9_\.-]+)@([\da-z\.-]+)\.([a-z\.]{2,6})$/", username):user = UserInfo.objects.filter(username=username).first()else:user = UserInfo.objects.filter(username=username).first()# 使用的是django的表,需要使用响应的方法进行密码检验if user and user.check_password(password):# 获取tokentoken = RefreshToken.for_user(user)self.context['refresh'] = str(token)self.context['access'] = str(token.access_token)return attrsraise ValidationError("用户名或者密码错误")

image-20240419212802362

【4】自定义用户表、手动签发和认证

(1)模型表

  • 用户表用普通的表
  • 创建一个数据表用于侧式认证功能
from django.db import modelsclass UserNormal(models.Model):username = models.CharField(max_length=64, verbose_name='用户名')password = models.CharField(max_length=64, verbose_name='密码')class Book(models.Model):name = models.CharField(max_length=64, verbose_name="书名")price = models.CharField(max_length=64, verbose_name="价格")publish = models.CharField(max_length=64, verbose_name="出版社")

(2)路由层

  • 自动路由
from django.urls import path, include
from rest_framework.routers import SimpleRouter
from .views import JWTLoginAPIView, BookAPIViewrouter = SimpleRouter()
router.register('', JWTLoginAPIView, basename='login')
router.register('book', BookAPIView, basename='book')
urlpatterns = [path('v1/', include(router.urls)),
]

(3)视图层

  • 和之前没有区别,多创一个视图类用于测试
from rest_framework.viewsets import GenericViewSet, ModelViewSet
from .serializer import JWTTokenSerializer, BookModelSerializer
from rest_framework.response import Response
from rest_framework.decorators import action
from .models import Book
from .authentication import JWTAuthclass BookAPIView(ModelViewSet):queryset = Book.objects.all()serializer_class = BookModelSerializerauthentication_classes = [JWTAuth]class JWTLoginAPIView(GenericViewSet):serializer_class = JWTTokenSerializer@action(methods=['post'], detail=False)def login(self, request):ser = self.get_serializer(data=request.data)if ser.is_valid():refresh = ser.context.get('refresh')access = ser.context.get('access')return Response({"code": 100, "msg": "登录验证成功", "refresh": refresh, "access": access})return Response({"code": 100, "msg": ser.errors})

(4)序列化

import refrom rest_framework import serializers
from rest_framework.exceptions import ValidationError
from rest_framework_simplejwt.tokens import RefreshToken
from .models import UserInfo, Book, UserNormalclass BookModelSerializer(serializers.ModelSerializer):class Meta:model = Bookfields = "__all__"class JWTTokenSerializer(serializers.Serializer):username = serializers.CharField()password = serializers.CharField()def validate(self, attrs):username = attrs.get('username')password = attrs.get('password')user = UserNormal.objects.filter(username=username, password=password).first()if user:# 获取tokentoken = RefreshToken.for_user(user)self.context['access'] = str(token.access_token)self.context['refresh'] = str(token)return attrsraise ValidationError("用户名或者密码错误")

(5)认证类

from rest_framework_simplejwt.authentication import JWTAuthentication
from .models import UserNormal
from rest_framework.exceptions import AuthenticationFailedclass JWTAuth(JWTAuthentication):def authenticate(self, request):token = request.META.get("HTTP_AUTHORIZATION")if token:# 调用父类的方法验证token,内部会自动验证抛出异常validated_token = super().get_validated_token(token)# 放入的默认信息是user_iduser_id = validated_token.get('user_id')user = UserNormal.objects.filter(pk=user_id)return user, tokenelse:raise AuthenticationFailed("登录认证信息认证失败")

(6)测试

  • 注意:上面调用的方法,不可以在token的前面带任何参数

image-20240419233202680

  • 解决办法:
    • 使用父类的获取原生token方法,这样仍将携带配置文件中的要求(Bearer,也可以自定义其他的)
header = self.get_header(request)
token = self.get_raw_token(header)

image-20240419234023749

这篇关于DRF JWT认证进阶的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/939946

相关文章

浅析Spring Security认证过程

类图 为了方便理解Spring Security认证流程,特意画了如下的类图,包含相关的核心认证类 概述 核心验证器 AuthenticationManager 该对象提供了认证方法的入口,接收一个Authentiaton对象作为参数; public interface AuthenticationManager {Authentication authenticate(Authenti

Spring Security 从入门到进阶系列教程

Spring Security 入门系列 《保护 Web 应用的安全》 《Spring-Security-入门(一):登录与退出》 《Spring-Security-入门(二):基于数据库验证》 《Spring-Security-入门(三):密码加密》 《Spring-Security-入门(四):自定义-Filter》 《Spring-Security-入门(五):在 Sprin

Java进阶13讲__第12讲_1/2

多线程、线程池 1.  线程概念 1.1  什么是线程 1.2  线程的好处 2.   创建线程的三种方式 注意事项 2.1  继承Thread类 2.1.1 认识  2.1.2  编码实现  package cn.hdc.oop10.Thread;import org.slf4j.Logger;import org.slf4j.LoggerFactory

[MySQL表的增删改查-进阶]

🌈个人主页:努力学编程’ ⛅个人推荐: c语言从初阶到进阶 JavaEE详解 数据结构 ⚡学好数据结构,刷题刻不容缓:点击一起刷题 🌙心灵鸡汤:总有人要赢,为什么不能是我呢 💻💻💻数据库约束 🔭🔭🔭约束类型 not null: 指示某列不能存储 NULL 值unique: 保证某列的每行必须有唯一的值default: 规定没有给列赋值时的默认值.primary key:

【Linux 从基础到进阶】Ansible自动化运维工具使用

Ansible自动化运维工具使用 Ansible 是一款开源的自动化运维工具,采用无代理架构(agentless),基于 SSH 连接进行管理,具有简单易用、灵活强大、可扩展性高等特点。它广泛用于服务器管理、应用部署、配置管理等任务。本文将介绍 Ansible 的安装、基本使用方法及一些实际运维场景中的应用,旨在帮助运维人员快速上手并熟练运用 Ansible。 1. Ansible的核心概念

Flutter 进阶:绘制加载动画

绘制加载动画:由小圆组成的大圆 1. 定义 LoadingScreen 类2. 实现 _LoadingScreenState 类3. 定义 LoadingPainter 类4. 总结 实现加载动画 我们需要定义两个类:LoadingScreen 和 LoadingPainter。LoadingScreen 负责控制动画的状态,而 LoadingPainter 则负责绘制动画。

从0到1,AI我来了- (7)AI应用-ComfyUI-II(进阶)

上篇comfyUI 入门 ,了解了TA是个啥,这篇,我们通过ComfyUI 及其相关Lora 模型,生成一些更惊艳的图片。这篇主要了解这些内容:         1、哪里获取模型?         2、实践如何画一个美女?         3、附录:               1)相关SD(稳定扩散模型的组成部分)               2)模型放置目录(重要)

java学习,进阶,提升

http://how2j.cn/k/hutool/hutool-brief/1930.html?p=73689

【Kubernetes】K8s 的安全框架和用户认证

K8s 的安全框架和用户认证 1.Kubernetes 的安全框架1.1 认证:Authentication1.2 鉴权:Authorization1.3 准入控制:Admission Control 2.Kubernetes 的用户认证2.1 Kubernetes 的用户认证方式2.2 配置 Kubernetes 集群使用密码认证 Kubernetes 作为一个分布式的虚拟

【408DS算法题】039进阶-判断图中路径是否存在

Index 题目分析实现总结 题目 对于给定的图G,设计函数实现判断G中是否含有从start结点到stop结点的路径。 分析实现 对于图的路径的存在性判断,有两种做法:(本文的实现均基于邻接矩阵存储方式的图) 1.图的BFS BFS的思路相对比较直观——从起始结点出发进行层次遍历,遍历过程中遇到结点i就表示存在路径start->i,故只需判断每个结点i是否就是stop