Django REST Framework教程(7): 如何使用JWT认证(神文多图)

在前面的DRF系列文章中，我们介绍了DRF认证(authentication)的本质, 以及自带的几种认证方案，包括TokenAuthentication方案。然而JSON Web Token(JWT)是一种更新的使用token进行身份认证的标准。与DRF内置的TokenAuthentication方案不同，JWT身份验证不需要使用数据库来验证令牌, 而且可以轻松设置token失效期或刷新token, 是API开发中当前最流行的跨域认证解决方案。本文将详细介绍JWT认证的工作原理以及如何通过djangorestframework-simplejwt 这个第三方包轻松实现JWT认证。如果有一篇文章我敢拍胸脯说，你今天可能用不到，但总有一天你会需要回过头来阅读它并使用它，那么我指的就是本文，强烈建议先收藏再阅读。

其实网上已经有不少关于JWT的文章，大同小异。为了避免重复造轮子，本文将以原创翻译国外medium.com上的一篇神文为主 (原作：Yunus Emre Cevik）并辅以自己的解读，希望对你有所帮助。

什么是Json Web Token及其工作原理

JSON Web Token（JWT）是一种开放标准，它定义了一种紧凑且自包含的方式，用于各方之间安全地将信息以JSON对象传输。由于此信息是经过数字签名的，因此可以被验证和信任。JWT用于为应用程序创建访问token，通常适用于API身份验证和服务器到服务器的授权。那么如何理解紧凑和自包含这两个词的含义呢?

  • 紧凑：就是说这个数据量比较少，可以通过url参数，http请求提交的数据以及http header多种方式来传递。

  • 自包含：这个字符串可以包含很多信息，比如用户id，用户名，订单号id等，如果其他人拿到该信息，就可以拿到关键业务信息。

那么JWT认证是如何工作的呢? 首先客户端提交用户登录信息验证身份通过后，服务器生成一个用于证明用户身份的令牌(token)，也就是一个加密后的长字符串，并将其发送给客户端。在后续请求中，客户端以各种方式(比如通过url参数或者请求头)将这个令牌发送回服务器，服务器就知道请求来自哪个特定身份的用户了。

JSON Web Token由三部分组成，这些部分由点（.）分隔，分别是header(头部)，payload(有效负载)和signature(签名)。

  • header(头部): 识别以何种算法来生成签名；

  • pyload(有效负载): 用来存放实际需要传递的数据；

  • signature(签名): 安全验证token有效性，防止数据被篡改。

通过http传输的数据实际上是加密后的JWT，它是由两个点分割的base64-URL长字符串组成，解密后我们可以得到header, payload和signature三部分。我们可以简单的使用 https://jwt.io/ 官网来生成或解析一个JWT，如下所示：

接下来我们将使用django-rest-framework-simplejwt这个第三方软件包进行JWT身份验证。

Django中如何使用JWT认证

django-rest-framework-simplejwt为Django REST框架提供了JSON Web令牌认证后端。它提供一组保守的默认功能来涵盖了JWT的最常见用例。它还非常容易扩展。

首先，我们要使用pip安装它。

pip install djangorestframework-simplejwt

其次，我们需要告诉DRF我们使用jwt认证作为后台认证方案。修改myproject/settings.py：

#myproject/settings.py

REST_FRAMEWORK = {    'DEFAULT_FILTER_BACKENDS': [        'django_filters.rest_framework.DjangoFilterBackend'    ],    'DEFAULT_AUTHENTICATION_CLASSES': [        'rest_framework_simplejwt.authentication.JWTAuthentication',    ],}

接下来，我们需要提供用户可以获取和刷新token的urls地址，这两个urls分别对应TokenObtainPairView和TokenRefreshView两个视图。

from django.contrib import adminfrom django.urls import path, includefrom reviews.views import ProductViewSet, ImageViewSetfrom rest_framework.routers import DefaultRouterfrom django.conf import settingsfrom django.conf.urls.static import staticfrom rest_framework_simplejwt.views import ( TokenObtainPairView, TokenRefreshView,)
router = DefaultRouter()router.register(r'product', ProductViewSet, basename='Product')router.register(r'image', ImageViewSet, basename='Image')
urlpatterns = [ path('admin/', admin.site.urls), path('token/', TokenObtainPairView.as_view(), name='token_obtain_pair'), path('token/refresh/', TokenRefreshView.as_view(), name='token_refresh'), path('', include(router.urls)),]
if settings.DEBUG: urlpatterns += static(settings.MEDIA_URL, document_root=settings.MEDIA_ROOT)

最后，我们可以开始使用postman测试了。通过POST方法发送登录请求到/token/, 请求数据包括username和password。如果登录成功，你将得到两个长字符串，一个是access token(访问令牌)，还有一个是refresh token(刷新令牌)，如下所示：

假如你有一个受保护的视图(比如这里的/image/)，权限(permission_classes)是IsAuthenticated，只有验证用户才可访问。访问这个保护视图时你只需要在请求头的Authorization选项里输入你刚才获取的access token即可，如下所示：

不给这个access token默认只有5分钟有效。5分钟过后，当你再次访问保护视图时，你将得到如下token已失效或过期的提示：

去获取新的access token，你需要使用之前获得的refresh token。你将这个refresh token放到请求的正文(body)里，发送POST请求到/token/refresh/即可获得刷新后的access token(访问令牌), 如下所示：

那么问题来了，Simple JWT中的access token默认有效期是5分钟，那么refresh token默认有效期是多长呢? 答案是24小时。

更改Simple JWT的默认设置

Simple JWT的默认设置如下所示：

DEFAULTS = {    'ACCESS_TOKEN_LIFETIME': timedelta(minutes=5),    'REFRESH_TOKEN_LIFETIME': timedelta(days=1),    'ROTATE_REFRESH_TOKENS': False,    'BLACKLIST_AFTER_ROTATION': True,    'ALGORITHM': 'HS256',    'SIGNING_KEY': settings.SECRET_KEY,    'VERIFYING_KEY': None,    'AUDIENCE': None,    'ISSUER': None,    'AUTH_HEADER_TYPES': ('Bearer',),    'USER_ID_FIELD': 'id',    'USER_ID_CLAIM': 'user_id',    'AUTH_TOKEN_CLASSES': ('rest_framework_simplejwt.tokens.AccessToken',),    'TOKEN_TYPE_CLAIM': 'token_type',    'JTI_CLAIM': 'jti',    'SLIDING_TOKEN_REFRESH_EXP_CLAIM': 'refresh_exp',    'SLIDING_TOKEN_LIFETIME': timedelta(minutes=5),    'SLIDING_TOKEN_REFRESH_LIFETIME': timedelta(days=1),}

如果要覆盖Simple JWT的默认设置，可以修改settings.py, 如下所示。下例将refresh token的有效期改为了15天。

from datetime import timedelta
SIMPLE_JWT = { 'REFRESH_TOKEN_LIFETIME': timedelta(days=15), 'ROTATE_REFRESH_TOKENS': True,}

自定义令牌(token)

如果你对Simple JWT返回的access token进行解码，你会发现这个token的payload数据部分包括token类型，token失效时间，jti(一个类似随机字符串）和user_id。如果你希望在payload部分提供更多信息，比如用户的username，这时你就要自定义令牌(token)了。

首先，编写你的myapp/seralizers.py，添加如下代码。该序列化器继承了TokenObtainPairSerializer类。

from rest_framework_simplejwt.serializers import TokenObtainPairSerializerclass MyTokenObtainPairSerializer(TokenObtainPairSerializer):    @classmethod    def get_token(cls, user):        token = super(MyTokenObtainPairSerializer, cls).get_token(user)        # Add custom claims        token['username'] = user.username        return token

其次，不使用Simple JWT提供的默认视图，使用自定义视图。修改myapp/views.py, 添加如下代码：

from rest_framework_simplejwt.views import TokenObtainPairViewfrom rest_framework.permissions import AllowAnyfrom .serializers import MyTokenObtainPairSerializer

class MyObtainTokenPairView(TokenObtainPairView): permission_classes = (AllowAny,) serializer_class = MyTokenObtainPairSerializer

最后，修改myproject/urls.py, 添加如下代码，将/token/指向新的自定义的视图。注意：本例中的app名为reviews，所以是从reviews.views导入的MyObtainTokenPairView。

from django.contrib import adminfrom django.urls import path, includefrom reviews.views import ProductViewSet, ImageViewSet, MyObtainTokenPairViewfrom rest_framework.routers import DefaultRouterfrom django.conf import settingsfrom django.conf.urls.static import staticfrom rest_framework_simplejwt.views import TokenRefreshViewrouter = DefaultRouter()router.register(r'product', ProductViewSet, basename='Product')router.register(r'image', ImageViewSet, basename='Image')urlpatterns = [    path('admin/', admin.site.urls),    path('token/', MyObtainTokenPairView.as_view(), name='token_obtain_pair'),    path('token/refresh/', TokenRefreshView.as_view(), name='token_refresh'),    path('', include(router.urls)),]if settings.DEBUG:    urlpatterns += static(settings.MEDIA_URL, document_root=settings.MEDIA_ROOT)

重新发送POST请求到/token/，你将获得新的access token和refresh token，如下所示：

对重新获取的access token进行解码，你将看到payload部分多了username的内容，是不是很酷? 在实际API开发过程中，通过Json Web Token传递更多数据非常有用。

自定义认证后台(Backend)

上面的演示案例是通过用户名和密码登录的，如果我们希望后台同时支持邮箱/密码，手机/密码组合登录怎么办? 这时我们还需要自定义认证后台(Backend)。

首先，修改users/views.py, 添加如下代码：

from django.contrib.auth.backends import ModelBackendfrom django.db.models import Qfrom django.contrib.auth import get_user_model
User = get_user_model()
class MyCustomBackend(ModelBackend):    def authenticate(self, request, username=None, password=None, **kwargs):        try: user = User.objects.get(Q(username=username) | Q(email=username) ) if user.check_password(password): return user except Exception as e: return None

其次，修改myproject/settings.py, 把你自定义的验证方式添加到AUTHENTICATION_BACKENDS里去。

AUTHENTICATION_BACKENDS = (    'users.views.MyCustomBackend',)

修改好后，你使用postman发送邮箱/密码组合到/token/，将同样可以获得access token和refresh token。是不是又学到了一招?

小结

赞 (0)

相关推荐