drf源码分析第八说 -- Jwt认证

2019-11-22

字数统计: 1.2k字 | 阅读时长: 5分

源码解析 – Jwt

0x01 简介

jwt，json web token，应用于前后端分离项目中，生成一个特殊的加密字符串，不可修改

也许有人说了，为什么要用jwt呢？cookie和session不香吗？他们难道不好吗？

cookie和session是存储在浏览器客户端或者服务器端的一个键值对，大部分是加密过的，而且在django中有一个专门的session中间件，将session保存在数据库，经过一些加密等方式，形成了一长串密文，里面还有过期时间，我也忘了里面的session是否可以更改过期时间，总之就是不那么安全，虽然说django中session会为每个用户开辟一块空间，但是，别人破解了mysql数据库，session会被别人拿到，拿到session就相当于拿到了账号和密码，用户也就没什么隐私了，具体session的加密方式我也没细细了解。jwt就不一样了。

1	用于在前后端分离时,实现用户登录相关.

一般用户认证有2种方式:

token

用户登录成功之后，生成一个随机字符串，自己保留一分+给前端返回一份。

以后前端再来发请求时，需要携带字符串。
后端对字符串进行校验。

jwt

用户登录成功之后，生成一个随机字符串，给前端。
	- 生成随机字符串
		{typ:"jwt","alg":'HS256'}     {id:1,username:'alx','exp':10}
		98qow39df0lj980945lkdjflo.saueoja8979284sdfsdf.asiuokjd978928374
		- 类型信息通过base64加密
		- 数据通过base64加密
		- 两个密文拼接在h256加密+加盐
	- 给前端返回
		98qow39df0lj980945lkdjflo.saueoja8979284sdfsdf.asiuokjd978928375

前端获取随机字符串之后，保留起来。
以后再来发送请求时，携带98qow39df0lj980945lkdjflo.saueoja8979284sdfsdf.asiuokjd978928375。


后端接受到之后，
	1.先做时间判断
    2.字符串合法性校验。

安装

1	pip3 install djangorestframework-jwt

使用

app中注册

INSTALLED_APPS = [
    'django.contrib.admin',
    'django.contrib.auth',
    'django.contrib.contenttypes',
    'django.contrib.sessions',
    'django.contrib.messages',
    'django.contrib.staticfiles',
    'api.apps.ApiConfig',
    'rest_framework',
    'rest_framework_jwt'
]

用户登录

0x02 jwt认证示例

settings.py

INSTALLED_APPS = [
    'django.contrib.admin',
    'django.contrib.auth',
    'django.contrib.contenttypes',
    'django.contrib.sessions',
    'django.contrib.messages',
    'django.contrib.staticfiles',
    'api.apps.ApiConfig',
    # drf
    'rest_framework',
    # jwt
    'rest_framework_jwt'
]


REST_FRAMEWORK = {
    "PAGE_SIZE":2,
    "DEFAULT_PAGINATION_CLASS":"rest_framework.pagination.PageNumberPagination",
    'DEFAULT_VERSIONING_CLASS':"rest_framework.versioning.URLPathVersioning",
    "ALLOWED_VERSIONS":['v1',],
    # 'DEFAULT_AUTHENTICATION_CLASSES':['api.extension.auth.LuffyAuthentication',],
    "DEFAULT_THROTTLE_RATES":{
        "anon":"3/m"
    },
    # "UNAUTHENTICATED_USER":None,
    # "UNAUTHENTICATED_TOKEN":None,
    "DEFAULT_AUTHENTICATION_CLASSES":["api.extends.auth.HulaQueryParamAuthentication",],
}

import datetime

JWT_AUTH = {
    "JWT_EXPIRATION_DELTA":datetime.timedelta(minutes=10)
}

api.extends.auth.HulaQueryParamAuthentication(api文件下面的extends的文件的auth.py文件)

import jwt
from rest_framework import exceptions
from rest_framework.authentication import BaseAuthentication
from rest_framework_jwt.settings import api_settings
from api import models


class HulaQueryParamAuthentication(BaseAuthentication):
    def authenticate(self, request):
        """
        # raise Exception(), 不在继续往下执行，直接返回给用户。
        # return None ,本次认证完成，执行下一个认证
        # return ('x',"x")，认证成功，不需要再继续执行其他认证了，继续往后权限、节流、视图函数
        """
        token = request.query_params.get('token')
        if not token:
            raise exceptions.AuthenticationFailed({'code':10002,'error':"登录成功之后才能操作"})

        jwt_decode_handler = api_settings.JWT_DECODE_HANDLER
        try:
            payload = jwt_decode_handler(token)
        except jwt.ExpiredSignature:
            raise exceptions.AuthenticationFailed({'code':10003,'error':"token已过期"})
        except jwt.DecodeError:
            raise exceptions.AuthenticationFailed({'code':10004,'error':"token格式错误"})
        except jwt.InvalidTokenError:
            raise exceptions.AuthenticationFailed({'code':10005,'error':"认证失败"})

        jwt_get_username_from_payload = api_settings.JWT_PAYLOAD_GET_USERNAME_HANDLER
        username = jwt_get_username_from_payload(payload)
        user_object = models.UserInfo.objects.filter(username=username).first()
        return (user_object, token)

urls.py

from django.conf.urls import url,include
from api import views

urlpatterns = [
    url(r'^api/(?P<version>\w+)/', include('api.urls',namespace='api')),
]

# api.urls
from django.conf.urls import url
from api import views

urlpatterns = [
    url(r'^category/$', views.CategoryView.as_view()),
    url(r'^login/$', views.LoginView.as_view()),
]

models.py

from django.db import models


class UserInfo(models.Model):
    """用户表"""
    username = models.CharField(verbose_name='用户名',max_length=32)
    password = models.CharField(verbose_name='密码',max_length=64)
    token = models.CharField(verbose_name='认证随机字符串', max_length=64, null=True, blank=True)
    
    
class Category(models.Model):
    name = models.CharField(verbose_name="分类", max_length=16)

views.py

from api import models
from rest_framework.permissions import BasePermission
from rest_framework.views import APIView
from rest_framework.response import Response
from rest_framework_jwt.settings import api_settings



class LoginView(APIView):
    authentication_classes = []
    permission_classes = []
    """
    登录接口
    """

    def post(self, request, *args, **kwargs):
        user = models.UserInfo.objects.filter(username=request.data.get('username'),
                                              password=request.data.get('password')).first()
        if not user:
            return Response({'code': 10001, 'error': '用户名或密码错误'})

        jwt_payload_handler = api_settings.JWT_PAYLOAD_HANDLER
        payload = jwt_payload_handler(user)

        jwt_encode_handler = api_settings.JWT_ENCODE_HANDLER
        token = jwt_encode_handler(payload)
        print(token)
        return Response({'code': 10000, 'data': token})

    
class CategoryView(APIView):
    def get(self, request, *args, **kwargs):
        print(request.user)
        print(request.auth)
        data = models.Category.objects.all().values()
        return Response(data)

发送请求

请求http://127.0.0.1:8000/api/v1/category/

{
    "code": "10002",
    "error": "登录成功之后才能操作"
}
请求http://127.0.0.1:8000/api/v1/login/ -- post请求
获取token

{
    "code": 10000,
    "data": "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6ImFhYSIsImV4cCI6MTU3NDU4NzgyOH0.Tf2NEcCgZ63GEZdg14Bcq2HkGxYZzS0CJpRUna2Oud0"
}
请求http://127.0.0.1:8000/api/v1/category/?token=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6ImFhYSIsImV4cCI6MTU3NDU4NzgyOH0.Tf2NEcCgZ63GEZdg14Bcq2HkGxYZzS0CJpRUna2Oud0

[
    {
        "id": 1,
        "name": "技术"
    },
    {
        "id": 2,
        "name": "['uuid']"
    },
    {
        "id": 3,
        "name": "['“test”']"
    },
    {
        "id": 4,
        "name": "['1122334']"
    },
    {
        "id": 5,
        "name": "['112334']"
    },
    {
        "id": 6,
        "name": "['112334']"
    },
    {
        "id": 7,
        "name": ""
    },
    {
        "id": 8,
        "name": "uucc"
    }
]