DRF JWT认证进阶

news2024/10/5 21:25:45

JWT认证进阶

【0】准备工作

(1)模型准备

  • 模型准备(继承djangoauth_user表)
from django.db import models
from django.contrib.auth.models import AbstractUser

class UserInfo(AbstractUser):
    mobile = models.CharField(max_length=11, verbose_name='手机号码')

  • 添加配置文件,修改用户模型表为自定义表
AUTH_USER_MODEL = 'app名称.UserInfo'

(2)知识点绑定方法

  • 详情请见:Python 面向对象之绑定和非绑定方法_python 绑定方法-CSDN博客
  • 实例方法
    • 对象调用实例方法时(对象.实例方法()),自动将对象当作第一个参数传入
    • 类调用实例方法时(类.实例方法(类())),需要手动传入一个实例
  • 类方法
    • 类调用类方法时(类.类方法()),自动将类当作第一个参数传入
    • 对象调用类方法时(对象.类方法()),自动将对象的类当作第一个参数传入
  • 简单示例
class A:
    def __init__(self, name):
        self.name = name

    @classmethod
    def hi(cls):
        print(f"{cls.__name__} say hi")

    def hello(self):
        print(f"{self.name} say hello")


a = A('bruce')
# 实例调用类方法,自定将类传入
a.hi()
# 类调用实例方法,需要手动将实例对象传入
A.hello(a)

(3)保存信息显示中文

  • 在配置文件中注册app就可以
INSTALLED_APPS = [
    'rest_framework_simplejwt',
]

【1】jwt配置文件

(1)整体查看

  • 这些内容都在from rest_framework_simplejwt import settings可以自己去查看
DEFAULTS = {
    "ACCESS_TOKEN_LIFETIME": timedelta(minutes=5),# 访问令牌的有效期。这里设置为5分钟。
    "REFRESH_TOKEN_LIFETIME": timedelta(days=1),# 刷新令牌的有效期。这里设置为1天。
    "ROTATE_REFRESH_TOKENS": False,# 是否每次使用刷新令牌时都生成新的刷新令牌。这里设置为False。
    "BLACKLIST_AFTER_ROTATION": False,# 刷新令牌在旋转后是否应该被加入黑名单。这里设置为False。
    "UPDATE_LAST_LOGIN": False,# 是否在每次验证令牌时更新用户的最后登录时间。这里设置为False。
    "ALGORITHM": "HS256",# 用于签名的算法。这里使用的是HS256。
    "SIGNING_KEY": settings.SECRET_KEY,# 用于签名的密钥。这里使用的是Django的SECRET_KEY。
    "VERIFYING_KEY": "",# 用于验证令牌的密钥。这里没有设置。
    "AUDIENCE": None,# JWT的接收者。这里没有设置。
    "ISSUER": None,# JWT的签发者。这里没有设置。
    "JSON_ENCODER": None,# 用于序列化JWT负载的JSON编码器。这里没有设置。
    "JWK_URL": None,# JSON Web Key Set的URL,用于公钥检索。这里没有设置。
    "LEEWAY": 0,# 在验证JWT的时间戳时允许的时间误差(秒)。这里设置为0。
    "AUTH_HEADER_TYPES": ("Bearer",),# 认证头中可以接受的令牌类型。这里设置为只接受"Bearer"类型。
    "AUTH_HEADER_NAME": "HTTP_AUTHORIZATION",# 认证头的名称。这里设置
    "USER_ID_FIELD": "id",# 用户的ID字段名。这里设置为"id"。
    "USER_ID_CLAIM": "user_id",# JWT中用户ID的声明名称。这里设置为"user_id"。
    "USER_AUTHENTICATION_RULE": "rest_framework_simplejwt.authentication.default_user_authentication_rule",# 用于验证用户的规则。这里使用的是默认规则。
    "AUTH_TOKEN_CLASSES": ("rest_framework_simplejwt.tokens.AccessToken",),# l令牌类。这里设置为只使用访问令牌。
    "TOKEN_TYPE_CLAIM": "token_type",# 用于表示用户的模型类。这里使用的是默认模型。
    "JTI_CLAIM": "jti",#  JWT的JTI(JWT ID)声明名称。这里设置为"jti"。
    "TOKEN_USER_CLASS": "rest_framework_simplejwt.models.TokenUser",# 用于表示用户的模型类。这里使用的是默认模型。
    "SLIDING_TOKEN_REFRESH_EXP_CLAIM": "refresh_exp",# 滑动刷新令牌中的过期声明名称。这里设置为"refresh_exp"。
    "SLIDING_TOKEN_LIFETIME": timedelta(minutes=5),# 滑动访问令牌的有效期。这里设置为5分钟。
    "SLIDING_TOKEN_REFRESH_LIFETIME": timedelta(days=1),# 滑动刷新令牌的有效期。这里设置为1天。
    "TOKEN_OBTAIN_SERIALIZER": "rest_framework_simplejwt.serializers.TokenObtainPairSerializer",# 用于获取令牌的序列化器。这里使用默认的序列化器。
    "TOKEN_REFRESH_SERIALIZER": "rest_framework_simplejwt.serializers.TokenRefreshSerializer",# 用于刷新令牌的序列化器。这里使用默认的序列化器。
    "TOKEN_VERIFY_SERIALIZER": "rest_framework_simplejwt.serializers.TokenVerifySerializer",# 用于验证令牌的序列化器。这里使用默认的序列化器。
    "TOKEN_BLACKLIST_SERIALIZER": "rest_framework_simplejwt.serializers.TokenBlacklistSerializer",# 用于黑名单令牌的序列化器。这里使用默认的序列化器。
    "SLIDING_TOKEN_OBTAIN_SERIALIZER": "rest_framework_simplejwt.serializers.TokenObtainSlidingSerializer",# 用于获取滑动令牌的序列化器。这里使用默认的序列化器。
    "SLIDING_TOKEN_REFRESH_SERIALIZER": "rest_framework_simplejwt.serializers.TokenRefreshSlidingSerializer",# 用于刷新滑动令牌的序列化器。这里使用默认的序列化器。
    "CHECK_REVOKE_TOKEN": False,# 是否检查令牌是否已被撤销。这里设置为False。
    "REVOKE_TOKEN_CLAIM": "hash_password",# 用于撤销令牌的声明名称。这里设置为"hash_password"。
}

(2)常用的配置

  • ACCESS_TOKEN_LIFETIME: 访问令牌的有效期。这里设置为5分钟。

  • REFRESH_TOKEN_LIFETIME: 刷新令牌的有效期。这里设置为1天。

  • TOKEN_OBTAIN_SERIALIZER:可自定义登录的序列化器

【2】定制登录返回格式

(1)定制整体返回格式

  • jwt默认返回格式是一个字典,包含两个键值对
    • 一个是刷新相关的token,另一个是登录相关的token
  • 我们期望的格式是一个大字典,包含返回自定义状态码code、描述信息msg、用户名username和默认的两个token
    • 所以需要我们自定义,这里的方法是替换默认的登录序列化类,自定义序列化类以实现自定义的返回整体格式
  • 通过默认配置:
    • "TOKEN_OBTAIN_SERIALIZER": "rest_framework_simplejwt.serializers.TokenObtainPairSerializer"
    • 可知道这个类是负责登录序列化的,为了方便,继承它,重写它的方法,添加自定义的属性
    • 通过简单观察源码发现,返回的内容就是validate里面的data,所以只需要在这个data中添加修改一下字段就可以

image-20240419195240224

  • 代码
from rest_framework_simplejwt.serializers import TokenObtainPairSerializer

class JWTTokenPairSerializer(TokenObtainPairSerializer):
    def validate(self, attrs):
        data = super().validate(attrs)
        new_data = {
            "code": 100,
            "msg": '登录验证成功',
            "username": self.user.username,
            "refresh": data.get("refresh"),
            "access": data.get("access"),
        }
        return new_data
# 配置文件替换默认的序列化类
SIMPLE_JWT ={
    'TOKEN_OBTAIN_SERIALIZER':'自定义序列化类的位置.JWTTokenPairSerializer'
}

# 使用默认的JWT登录
from django.urls import path
from rest_framework_simplejwt.views import token_obtain_pair
urlpatterns = [
    path('v0/login/', token_obtain_pair),
]

image-20240419200640456

(2)定制payload载荷

  • 默认载荷部分包含了

    • token_type表示这是一个访问令牌(access token)
    • exp是令牌的过期时间(UNIX时间戳)
    • iat是令牌的签发时间
    • jti是令牌的唯一标识符
    • user_id是用户ID
  • 现在思考如何添加自定义字段,比如用户的用户名

    • 还是通过一步一步的找token,最终找到了载荷payload,是一个字典所以可以尝试,像普通字典一样添加新的信息
    • 注意:这里面虽然有类方法,但是无论是self还是super都是实例对象,可以直接调用类方法

PixPin_2024-04-19_20-29-49

  • 代码:还是修改序列化类
from rest_framework_simplejwt.serializers import TokenObtainPairSerializer

class JWTTokenPairSerializer(TokenObtainPairSerializer):
    @classmethod
    def get_token(cls, user):
        token = super().get_token(user)
        token['username'] = user.username
        return token
  • 检查,添加成功
import base64

s = 'token第二段==='
res = base64.b64decode(s.encode('utf8'))
# b'{"token_type":"access","exp":1713528635,"iat":1713528335,"jti":"cc57595cd70f4938baa4673a6f1538ad","user_id":1}
# b'{"token_type":"access","exp":1713530348,"iat":1713530048,"jti":"6807d0722efb41bba01742a44767c18d","user_id":1,"username":"admin"}'

【3】多方式登录

(1)简介

  • 实际的案例中,登录的方式有很多种,既可以是用户名,还可以是手机号,还可以是邮箱等,并且他们的登录输入入口都是一个,所以这里将实现这种接口

image-20240419203858725

(2)登录视图函数和路由

  • 序列化类有检验功能,所以重心不在这里
# 路由层
from django.urls import path, include
from rest_framework.routers import SimpleRouter
from .views import JWTLoginAPIView

router = SimpleRouter()
router.register('', JWTLoginAPIView, basename='login')
urlpatterns = [
    path('v1/', include(router.urls)),
]
# 视图层
from rest_framework.viewsets import GenericViewSet
from .serializer import JWTTokenSerializer
from rest_framework.response import Response
from rest_framework.decorators import action


class JWTLoginAPIView(GenericViewSet):
    serializer_class = JWTTokenSerializer

    @action(methods=['post'], detail=False)
    def login(self, request, *args, **kwargs):
        ser = self.get_serializer(data=request.data)
        if ser.is_valid():
            refresh = ser.context.get('refresh')
            access = ser.context.get('access')
            return Response({"code": 100, "msg": "登录验证成功", "refresh": refresh, "access": access})
        return Response({"code": 100, "msg": ser.erros})

(3)序列化类

  • 序列化类的检验分为三个过程,首先是字段参数(包括validators),然后是局部钩子,最后是全局钩子
  • 由于需要校验用户输入字段和密码字段,所以使用全局钩子
  • 整体逻辑
    • 使用不同方法区分传入的值是电话,还是邮箱,还是手机号
    • 由于使用的是django的用户表,所以要用相应的加密方法判断密码
    • 在定制载荷payload中,知道了RefreshToken处理token,所以要调用这个类的类方法for_user处理
import re

from rest_framework import serializers
from rest_framework.exceptions import ValidationError
from rest_framework_simplejwt.tokens import RefreshToken
from .models import UserInfo


class JWTTokenSerializer(serializers.Serializer):
    username = serializers.CharField()
    password = serializers.CharField()

    def validate(self, attrs):
        username = attrs.get('username')
        password = attrs.get('password')
        if re.match(r'^1[3-9][0-9]{9}$', username):
            user = UserInfo.objects.filter(username=username).first()
        elif re.match(r"/^([a-z0-9_\.-]+)@([\da-z\.-]+)\.([a-z\.]{2,6})$/", username):
            user = UserInfo.objects.filter(username=username).first()
        else:
            user = UserInfo.objects.filter(username=username).first()
        # 使用的是django的表,需要使用响应的方法进行密码检验
        if user and user.check_password(password):
            # 获取token
            token = RefreshToken.for_user(user)
            self.context['refresh'] = str(token)
            self.context['access'] = str(token.access_token)
            return attrs
        raise ValidationError("用户名或者密码错误")

image-20240419212802362

【4】自定义用户表、手动签发和认证

(1)模型表

  • 用户表用普通的表
  • 创建一个数据表用于侧式认证功能
from django.db import models

class UserNormal(models.Model):
    username = models.CharField(max_length=64, verbose_name='用户名')
    password = models.CharField(max_length=64, verbose_name='密码')

class Book(models.Model):
    name = models.CharField(max_length=64, verbose_name="书名")
    price = models.CharField(max_length=64, verbose_name="价格")
    publish = models.CharField(max_length=64, verbose_name="出版社")

(2)路由层

  • 自动路由
from django.urls import path, include
from rest_framework.routers import SimpleRouter
from .views import JWTLoginAPIView, BookAPIView

router = SimpleRouter()
router.register('', JWTLoginAPIView, basename='login')
router.register('book', BookAPIView, basename='book')
urlpatterns = [
    path('v1/', include(router.urls)),
]

(3)视图层

  • 和之前没有区别,多创一个视图类用于测试
from rest_framework.viewsets import GenericViewSet, ModelViewSet
from .serializer import JWTTokenSerializer, BookModelSerializer
from rest_framework.response import Response
from rest_framework.decorators import action
from .models import Book
from .authentication import JWTAuth

class BookAPIView(ModelViewSet):
    queryset = Book.objects.all()
    serializer_class = BookModelSerializer
    authentication_classes = [JWTAuth]
    
class JWTLoginAPIView(GenericViewSet):
    serializer_class = JWTTokenSerializer

    @action(methods=['post'], detail=False)
    def login(self, request):
        ser = self.get_serializer(data=request.data)
        if ser.is_valid():
            refresh = ser.context.get('refresh')
            access = ser.context.get('access')
            return Response({"code": 100, "msg": "登录验证成功", "refresh": refresh, "access": access})
        return Response({"code": 100, "msg": ser.errors})

(4)序列化

import re

from rest_framework import serializers
from rest_framework.exceptions import ValidationError
from rest_framework_simplejwt.tokens import RefreshToken
from .models import UserInfo, Book, UserNormal


class BookModelSerializer(serializers.ModelSerializer):
    class Meta:
        model = Book
        fields = "__all__"


class JWTTokenSerializer(serializers.Serializer):
    username = serializers.CharField()
    password = serializers.CharField()

    def validate(self, attrs):
        username = attrs.get('username')
        password = attrs.get('password')
        user = UserNormal.objects.filter(username=username, password=password).first()
        if user:
            # 获取token
            token = RefreshToken.for_user(user)
            self.context['access'] = str(token.access_token)
            self.context['refresh'] = str(token)

            return attrs
        raise ValidationError("用户名或者密码错误")

(5)认证类

from rest_framework_simplejwt.authentication import JWTAuthentication
from .models import UserNormal
from rest_framework.exceptions import AuthenticationFailed


class JWTAuth(JWTAuthentication):
    def authenticate(self, request):
        token = request.META.get("HTTP_AUTHORIZATION")

        if token:
            # 调用父类的方法验证token,内部会自动验证抛出异常
            validated_token = super().get_validated_token(token)
            # 放入的默认信息是user_id
            user_id = validated_token.get('user_id')
            user = UserNormal.objects.filter(pk=user_id)
            return user, token
        else:
            raise AuthenticationFailed("登录认证信息认证失败")

(6)测试

  • 注意:上面调用的方法,不可以在token的前面带任何参数

image-20240419233202680

  • 解决办法:
    • 使用父类的获取原生token方法,这样仍将携带配置文件中的要求(Bearer,也可以自定义其他的)
header = self.get_header(request)
token = self.get_raw_token(header)

image-20240419234023749

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.coloradmin.cn/o/1627644.html

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈,一经查实,立即删除!

相关文章

论文解读-面向高效生成大语言模型服务:从算法到系统综述

一、简要介绍 在快速发展的人工智能(AI)领域中,生成式大型语言模型(llm)站在了最前沿,彻底改变了论文与数据交互的方式。然而,部署这些模型的计算强度和内存消耗在服务效率方面带来了重大挑战&a…

The Log-Structured Merge-Tree (LSM-Tree) 论文阅读笔记

原论文:The Log-Structured Merge-Tree (LSM-Tree) LSM-Tree的简介和关键技术要点 LSM-Tree(Log-Structured Merge-Tree)是一种为高吞吐量读写操作优化的数据结构,特别适用于写入密集型的应用场景。它由Patrick O’Neil等人开发…

20.Nacos集群搭建

模拟Nacos三个节点,同一个ip,启动三个不同的端口: 节点 nacos1, 端口:8845 节点 nacos2, 端口:8846 节点 nacos3, 端口:8847 1.搭建数据库,初始化数据库表结构 这里我们以单点的数据库为例 首先新建一…

Faust勒索病毒:了解变种faust,以及如何保护您的数据

导言: 近年来,网络安全问题日益严峻,其中勒索病毒成为了一种日益猖獗的威胁。在众多勒索病毒中,.faust勒索病毒以其高度的隐秘性和破坏性引起了广泛关注。本文91数据恢复将深入剖析.faust勒索病毒的威胁特点,并提出相…

Web前端一套全部清晰 ③ day2 HTML 标签综合案例

别让平淡生活&#xff0c;耗尽所有向往 —— 24.4.26 综合案例 —— 一切都会好的 网页制作思路&#xff1a;从上到下&#xff0c;先整体到局部&#xff0c;逐步分析制作 分析内容 ——> 写代码 ——>保存——>刷新浏览器&#xff0c;看效果 <!DOCTYPE html> &l…

Docker——数据管理和网络通信

目录 一、Docker的数据管理 1.数据卷 2.数据卷容器 3.容器互联 二、Docker镜像的创建 1.基于现有镜像创建 2.基于本地模板创建 3.基于Dockerfile 创建 3.1联合文件系统&#xff08;UnionFS&#xff09; 3.2镜像加载原理 3.3为什么Docker里的Centos大小才200M 4.Dcok…

表情识别 | 卷积神经网络(CNN)人脸表情识别(Matlab)

表情识别 | 卷积神经网络(CNN)人脸表情识别&#xff08;Matlab&#xff09; 目录 表情识别 | 卷积神经网络(CNN)人脸表情识别&#xff08;Matlab&#xff09;预测效果基本介绍程序设计参考资料 预测效果 基本介绍 Matlab使用卷积神经网络(CNN)&#xff0c;进行人脸表情情绪识别…

C++ 头文件/宏冲突问题解决?如何解决?

&#x1f3c6;本文收录于「Bug调优」专栏&#xff0c;主要记录项目实战过程中的Bug之前因后果及提供真实有效的解决方案&#xff0c;希望能够助你一臂之力&#xff0c;帮你早日登顶实现财富自由&#x1f680;&#xff1b;同时&#xff0c;欢迎大家关注&&收藏&&…

Git -- 运用总结

文章目录 1. Git2. 基础/查阅2.1 基础/查阅 - git2.2 仓库 - remote2.3 清理 - rm/clean2.4 版本回退 - reset 3. 分支3.1 分支基础 - branch3.2 分支暂存更改 - stash3.3 分支切换 - checkout 4. 代码提交/拉取4.1 代码提交 - push4.2 代码拉取 - pull 1. Git 2. 基础/查阅 2…

在PR中使用 obs 和 vokoscreen 录制的视频遇到的问题

1. obs 录制的视频 在 Adobe Premiere Pro CS6 中只有音频没有视频 2. vokoscreen 录制的视频&#xff0c;没有声音 这是是和视频录制的编码有关系&#xff0c;也和显卡驱动关系 首先 obs 点击 文件 ---> 设置 录制的视频都是可以正常播放的&#xff0c;在PR不行。更…

tomcat 配置支持 ssl 附效果图

1、修改tomcat配置文件server.xml: vim ./conf/server.xml 把配置文件&#xff1a; <Connector port"8088" Server" " protocol"HTTP/1.1"connectionTimeout"20000"redirectPort"8443" URIEncoding"UTF-8" …

【Day 9】Mybatis CURD + XML 映射 + 动态 SQL

1 Mybatis 基础操作 下面进行&#xff1a;增删改查——C(create)U(update)R(retrieve)D(delete) 1.1 删除&#xff08;删&#xff09; 根据主键 id 进行删除 注意 占位符 #{ } 返回值是删除的记录条数 测试&#xff1a; 可以在日志中看到 mybatis 具体的语句 预编译 SQL 的优…

Taro +vue3 中实现全局颜色css变量的设置和使用

当我们现在需要弄一个随时修改的页面颜色主题色 我们可以随时修改 我使用的是 Taro 框架 一般有一个app.less 文件 我们在这个里面 设置一个root 全局样式 :root {--primary-color: #028fd4;--secondary-color: #028fd6;/* 添加其他颜色变量 */ } 这样在全局我们就可以使用这…

调度问题变形的贪心算法分析与实现

调度问题变形的贪心算法分析与实现 一、问题背景与算法描述二、算法正确性证明三、算法实现与分析四、结论 一、问题背景与算法描述 带截止时间和惩罚的单位时间任务调度问题是一个典型的贪心算法应用场景。该问题的目标是最小化超过截止时间导致的惩罚总和。给定一组单位时间…

【python】语言学习笔记--用来记录总结

请问以下变量哪些是tuple类型&#xff1a; a ()b (1)c [2]d (3,)e (4,5,6)answer在Python中&#xff0c;元组&#xff08;tuple&#xff09;是由逗号分隔的一组值组成的有序序列&#xff0c;通常用圆括号括起来。让我们逐个检查变量&#xff0c;看哪些是元组类型&#xff…

python中怎么注释多行

多行代码注释 方法一&#xff1a;先选中要注释的段落&#xff0c;然后按下“ctrl/”&#xff0c;即可实现多行代码的注释。效果如下&#xff1a; 再一次按下“ctrl/”就可以取消注释。 方法二&#xff1a;跟注释单行一样在每一行前面输入“shift#”。 #r(i-arr[idx])*rat[idx]…

计算机网络大框架图形

如标题&#xff0c;精心画了一个计算机网络的框架性的图&#xff0c;包含了计算机网络的核心思想&#xff0c;在此分享和备份下。各层具体协议参考TCP/IP常用协议栈图解-CSDN博客

JavaScript创建和填充数组的更多方法

空数组fill()方法创建并填充数组 ● 我们之前创建数组的方式都是手动去创建去一个数据&#xff0c;例如 console.log([1, 2, 3, 4, 5, 6, 7]);● 当然我们也可以使用Array对象来构造数组 console.log([1, 2, 3, 4, 5, 6, 7]); console.log(new Array(1, 2, 3, 4, 5, 6, 7));…

SQL异常

异常 EXCEPTION 预定义异常 系统已经设置好的异常&#xff0c;包含了异常名&#xff0c;异常代码&#xff0c;异常信息组成 CASE NOT FOUND 未知异常&#xff1a;OTHERS 异常信息&#xff1a;SQLERRM 错误代码&#xff1a;SQLCODE 有各种各样的很多异常 捕获异常的语法 DE…

codeforce#933 题解

E. Rudolf and k Bridges 题意不讲了&#xff0c;不如去题干看图。 传统dp&#xff0c;每个点有两个选择&#xff0c;那么建桥要么不建。需要注意的是在状态转移的时候&#xff0c;桥是有长度的&#xff0c;如果不建需要前d格中建桥花费最少的位置作为状态转移的初态。 #incl…