快捷導(dǎo)航

Django rest framework jwt的使用方法詳解

更新時(shí)間：2019年08月08日 09:35:08 作者：Maple_feng

這篇文章主要介紹了Django rest framework jwt的使用方法詳解,文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下

一簡(jiǎn)介

JWT 是一個(gè)開放標(biāo)準(zhǔn)(RFC 7519)，它定義了一種用于簡(jiǎn)潔，自包含的用于通信雙方之間以 JSON 對(duì)象的形式安全傳遞信息的方法。該信息可以被驗(yàn)證和信任，因?yàn)樗菙?shù)字簽名的。JWTS可以使用秘密（使用HMAC算法）或公鑰/私鑰對(duì)使用RSA或ECDSA來(lái)簽名。

JWT的組成部分：

header

Header是由下面這個(gè)格式的Json通過Base64編碼（編碼不是加密，是可以通過反編碼的方式獲取到這個(gè)原來(lái)的Json，所以JWT中存放的一般是不敏感的信息）生成的字符串，Header中存放的內(nèi)容是說明編碼對(duì)象是一個(gè)JWT以及使用“SHA-256”的算法進(jìn)行加密（加密用于生成Signature）

playload

Payload是通過Claim進(jìn)行Base64轉(zhuǎn)碼之后生成的一串字符串，Claim是一個(gè)Json，Claim中存放的內(nèi)容是JWT自身的標(biāo)準(zhǔn)屬性，所有的標(biāo)準(zhǔn)屬性都是可選的，可以自行添加，比如：JWT的簽發(fā)者、JWT的接收者、JWT的持續(xù)時(shí)間等；同時(shí)Claim中也可以存放一些自定義的屬性，這個(gè)自定義的屬性就是在用戶認(rèn)證中用于標(biāo)明用戶身份的一個(gè)屬性，比如用戶存放在數(shù)據(jù)庫(kù)中的id，為了安全起見，一般不會(huì)將用戶名及密碼這類敏感的信息存放在Claim中。將Claim通過Base64轉(zhuǎn)碼之后生成的一串字符串稱作Payload。

signatrue

Signature是由Header和Payload組合而成，將Header和Claim這兩個(gè)Json分別使用Base64方式進(jìn)行編碼，生成字符串Header和Payload，然后將Header和Payload以Header.Payload的格式組合在一起形成一個(gè)字符串，然后使用上面定義好的加密算法和一個(gè)密匙（這個(gè)密匙存放在服務(wù)器上，用于進(jìn)行驗(yàn)證）對(duì)這個(gè)字符串進(jìn)行加密，形成一個(gè)新的字符串，這個(gè)字符串就是Signature。

簽名的目的：最后一步簽名的過程，實(shí)際上是對(duì)頭部以及負(fù)載內(nèi)容進(jìn)行簽名，防止內(nèi)容被竄改。如果有人對(duì)頭部以及負(fù)載的內(nèi)容解碼之后進(jìn)行修改，再進(jìn)行編碼，最后加上之前的簽名組合形成新的JWT的話，那么服務(wù)器端會(huì)判斷出新的頭部和負(fù)載形成的簽名和JWT附帶上的簽名是不一樣的。如果要對(duì)新的頭部和負(fù)載進(jìn)行簽名，在不知道服務(wù)器加密時(shí)用的密鑰的話，得出來(lái)的簽名也是不一樣的。

rest_framework_jwt

rest_framework_jwt是一個(gè)封裝了jwt符合restful規(guī)范的接口

網(wǎng)站地址：http://getblimp.github.io/django-rest-framework-jwt/

安裝：pip install djangorestframework-jwt

二、配合drf的認(rèn)證組件的使用方法

配置文件

#添加rest-framework
INSTALLED_APPS = [
  'django.contrib.admin',
  'django.contrib.auth',
  'django.contrib.contenttypes',
  'django.contrib.sessions',
  'django.contrib.messages',
  'django.contrib.staticfiles',
  'app01.apps.App01Config',
  "rest_framework",
]
REST_FRAMEWORK = {
  # 配置默認(rèn)的認(rèn)證方式 base:賬號(hào)密碼驗(yàn)證
  #session：session_id認(rèn)證
  'DEFAULT_AUTHENTICATION_CLASSES': (
    # drf的這一階段主要是做驗(yàn)證,middleware的auth主要是設(shè)置session和user到request對(duì)象
    # 默認(rèn)的驗(yàn)證是按照驗(yàn)證列表從上到下的驗(yàn)證
    'rest_framework.authentication.BasicAuthentication',
    'rest_framework.authentication.SessionAuthentication',
    "rest_framework_jwt.authentication.JSONWebTokenAuthentication",
  )}
import datetime
# 超時(shí)時(shí)間
JWT_AUTH = {
  'JWT_EXPIRATION_DELTA': datetime.timedelta(days=1),
  # token前綴
  'JWT_AUTH_HEADER_PREFIX': 'JWT',
}
# 引用Django自帶的User表，繼承使用時(shí)需要設(shè)置
AUTH_USER_MODEL = "app01.User"

模型表

#使用django自帶的auth組件模型表
from django.db import models
from django.contrib.auth.models import AbstractUser
# Create your models here.
class User(AbstractUser):
  phone=models.CharField(max_length=11,null=True)

url路由層

from django.conf.urls import url
from django.contrib import admin
from rest_framework_jwt.views import obtain_jwt_token
from app01 import views
urlpatterns = [
  url(r'^admin/', admin.site.urls),
  # url(r'^home/', views.Home.as_view()),
  # 登入驗(yàn)證，使用JWT的模塊，只要用戶密碼正確會(huì)自動(dòng)生成一個(gè)token返回
  url(r'^login/', obtain_jwt_token),
  # 訪問需要認(rèn)證的接口
  url(r'^index/', views.Index.as_view()),
]

view視圖層

from django.shortcuts import render
from django.http import JsonResponse
# Create your views here.
from rest_framework.views import APIView
from app01.jwtMiddleware import TokenAuth
class Index(APIView):　　#局部認(rèn)證的配置
  authentication_classes = [TokenAuth,]
  def get(self,request):
    return JsonResponse({"index":"ok"})
class Home(APIView):
  def get(self,request):
    return render(request,"login.html")

rest-framework認(rèn)證類

from rest_framework.exceptions import AuthenticationFailed
from rest_framework_jwt.serializers import VerifyJSONWebTokenSerializer
class TokenAuth():
  def authenticate(self, request):
    token={"token":None}
    # print(request.META.get("HTTP_TOKEN"))
    token["token"] = request.META.get('HTTP_TOKEN')
    valid_data = VerifyJSONWebTokenSerializer().validate(token)
    print(valid_data)
    user = valid_data['user']
    print(user)
    if user:
      return
    else:
      raise AuthenticationFailed('認(rèn)證失敗')

模板

<!DOCTYPE html>
<html lang="en">
<head>
  <meta charset="UTF-8">
  <title>Title</title>
</head>
<body>
<form action="/login/" method="post">
  <input type="text" name="username">
  <input type="text" name="password">
  <input type="submit" value="登錄">
</form>
</body>
</html>

postman