devbox
知新_RL
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

四、【Django】基于Jwt的token认证（登录接口）_django jwt

作者：知新_RL | 2024-05-28 17:28:10

赞

踩

django jwt

简介

生成token， 就是把  某个东西  以某个key值(密钥)  加密 一下

简单的生成token举例

下面用python举例一下

  1. # 安装
  2. pip install pyjwt==1.7.1  （新版本的不行）
  3.

输入python，在python解析器里，运行生成token(要传payload参数，和key)

  1. import jwt
  2.  
  3. paylod={"name":"taoker111"}
  4.  
  5. token =jwt.encode(payload=paylod,key="tk123")
  6.  
  7. # 解码 得到payload
  8. # jwt.decode(token,key="123")

Django_rf的simplejwt

Django 3.1 版本之前是使用rest_framework_jwt 库,   之后版本的django会遇到这个报错

Could not import 'rest_framework_jwt.authentication.JSONWebTokenAuthentication' for API setting 'DEFAULT_AUTHENTICATION_CLASSES'. ImportError: cannot import name 'smart_text' from 'django.utils.encoding'

djangorestframework-simplejwt 库提供了与 rest_framework_jwt 类似的 JSON Web Token (JWT) 认证功能。

1.安装

djangorestframework-simplejwt 库（如果尚未安装）：

pip install djangorestframework-simplejwt

2.JWT 库默认的参数

 djangorestframework-simplejwt 默认使用一组默认值，但你可以根据需要设置这些参数。

如：

  •   默认token有效期为 5分钟
  •   生成token密钥SIGNING_KEY默认为 ：setting.py 中， 创建项目就生成好了的一个 key值
  •  参数：AUTH_HEADER_TYPES 指定前缀，默认为Bearer

（from rest_framework_simplejwt.settings import ）这么写然后点击settings

 如下是AUTH_HEADER_TYPES 前缀的意思，如果不配置，就是 Bearer开头

（后续可以登录成功后的access）使用pyjwt库来，用你的key来解码试试，它的信息包含这些

{'token_type': 'access', 'exp': 1689661573, 'iat': 1689661513, 'jti': 'eedea8e9d74b4da8b9e1932624952ee8', 'user_id': 3}

自定义配置JWT

 djangorestframework-simplejwt 默认使用一组安全的默认值，但你可以根据需要设置这些参数。例如，你可以在 settings.py 中添加以下配置：

  1. # settings.py
  2.  
  3. from datetime import timedelta 
  4. SIMPLE_JWT = {
  5.     "AUTH_HEADER_TYPES": ("JWT",),          # 指定前缀
  6.     'ACCESS_TOKEN_LIFETIME': timedelta(minutes=60),  # 访问令牌过期时间
  7.     'SLIDING_TOKEN_REFRESH_LIFETIME': timedelta(days=1),  # 滑动刷新令牌的过期时间
  8.     'SLIDING_TOKEN_REFRESH_LIFETIME_GRACE_PERIOD': timedelta(minutes=5),  # 滑动刷新令牌宽限期
  9.     'SLIDING_TOKEN_REFRESH_EXP_CLAIM': 'refresh_exp',  # 滑动刷新令牌的过期时间声明名称
  10. }

直接使用写登录

(不改默认的序列化器 和 视图)

自带了 登录视图类 TokenObtainPairView  对应的序列化器TokenObtainSlidingSerializer

（from rest_framework_simplejwt.views import）
（from rest_framework_simplejwt.serializers import）
这么写可以进入到源码

（它的序列化器默认用到的是JWT 里的这个配置 TOKEN_OBTAIN_SERIALIZER， 

 即rest_framework_simplejwt.serializers.TokenObtainSlidingSerializer）

利用本身的TokenObtainPairView  和 TokenObtainSlidingSerializer实现登录

直接把它配置到urls中，就能使用登录。

在外层urls.py中，配置

  1. from rest_framework_simplejwt.views import (
  2.     TokenObtainPairView,
  3.     TokenRefreshView,
  4.     TokenVerifyView,
  5. )
  6.  
  7. urlpatterns = [
  8.     ...
  9.     path('api/token/', TokenObtainPairView.as_view(), name='token_obtain_pair'),   # 用于获取
  10.     path('api/token/refresh/', TokenRefreshView.as_view(), name='token_refresh'),  # 用于更新
  11.     path('api/token/verify/', TokenVerifyView.as_view(), name='token_verify'),     # 未知
  12.     ...
  13. ]

获取token

使用POST请求，json格式传递 账号 和密码

自定义登录接口：

第一步：重写序列化器

即TokenObtainPairSerializer，原有的获取token序列化器要修改下

 from rest_framework_simplejwt.serializers import    这么写可以进入到源码）

token值中增加其他信息(不常用)

 做法：

在system应用下，或users 应用 中  serializers.py 中

  1. class LoginSerializer(TokenObtainPairSerializer):
  2.     """
  3.     用户登录-序列化器（重写的）
  4.     """
  5.     @classmethod
  6.     def get_token(cls, user):
  7.         token = super().get_token(user)
  8.  
  9.         # Add custom claims
  10.         token['name'] = user.username
  11.         # ...
  12.  
  13.         return token

先去完成第二步 （如前面已经配置了url，直接配置 SIMPLE_JWT）

"TOKEN_OBTAIN_SERIALIZER": "system.serializers.LoginSerializer",

登录查看效果，然后使用JWT解析，密钥在setting.py中。

于是access信息（下图的token2）中，就多了name的信息：

修改响应结构、补充字段等

  • 序列化器：里面增加了user_info  用户信息（ 这里的话，要配置setting，才生效）

如下是重写  获取token的序列化器 

  1. from rest_framework_simplejwt.serializers import TokenObtainPairSerializer
  2. from django.contrib.auth import authenticate
  3.  
  4. class LoginSerializer(TokenObtainPairSerializer):
  5.  
  6.     # 可修改一些提示语
  7.     default_error_messages = {
  8.         'no_active_account': ('该账号已被禁用,请与管理员联系!')
  9.     }
  10.  
  11.     # 响应中,增加了user_info字段， 增加了token字段
  12.     def validate(self, attrs):
  13.         data = super().validate(attrs)
  14.  
  15.         authenticate_kwargs = {
  16.             self.username_field: attrs[self.username_field],
  17.             "password": attrs["password"],
  18.  
  19.         }
  20.  
  21.         self.user = authenticate(**authenticate_kwargs)
  22.  
  23.         user = self.user
  24.         # 获取用户信息
  25.         user_info = {
  26.             'id': user.id,
  27.             'username': user.username,
  28.             'email': user.email,
  29.             # 添加其他用户信息...
  30.         }
  31.  
  32.         # 补充一个token字段
  33.         data["token"] = data["access"]
  34.  
  35.         # 将用户信息添加到响应数据中
  36.         data['user_info'] = user_info
  37.         return data
  38.

 松勤：

是把它当模型序列化器来用，指定了model， fields字段，

并且重写validate，即序列化器里提到的校验方法，并定义响应格式，成功或失败的

  1. from rest_framework_simplejwt.serializers import TokenObtainPairSerializer
  2. from django.contrib.auth import authenticate
  3. from system.models import User
  4.  
  5.  
  6. class LoginSerializer(TokenObtainPairSerializer):
  7.     class Meta:
  8.         model = User
  9.         fields = "__all__"
  10.         read_only_fields = ["id"]
  11.  
  12.     default_error_messages = {
  13.         'no_active_account': ('该账号已被禁用,请与管理员联系!')
  14.     }
  15.  
  16.     def validate(self, attrs):
  17.         username = attrs['username']
  18.         password = attrs['password']
  19.         user = User.objects.filter(username=username).first()
  20.         if not user:
  21.             result = {
  22.                 "code": 400,
  23.                 "msg": "账号或密码不正确！",
  24.                 "data": None
  25.             }
  26.             return result
  27.  
  28.         if user and not user.is_staff:  # 判断是否允许登录后台
  29.             result = {
  30.                 "code": 400,
  31.                 "msg": "您没有权限登录后台！",
  32.                 "data": None
  33.             }
  34.             return result
  35.  
  36.         if user and not user.is_active:
  37.             result = {
  38.                 "code": 400,
  39.                 "msg": "该账号已被禁用,请与管理员联系！",
  40.                 "data": None
  41.             }
  42.             return result
  43.  
  44.         if user and user.check_password(password):  # check_password() 对明文进行加密,并验证
  45.             data = super().validate(attrs)
  46.             refresh = self.get_token(self.user)
  47.  
  48.             data['username'] = self.user.username
  49.             data['userId'] = self.user.id
  50.             data['refresh'] = str(refresh)  # refresh_token
  51.             data['access'] = str(refresh.access_token)  # access_token
  52.             request = self.context.get('request')
  53.             request.user = self.user
  54.             result = {
  55.                 "code": 200,
  56.                 "msg": "登录成功！",
  57.                 "data": data
  58.             }
  59.         else:
  60.             result = {
  61.                 "code": 400,
  62.                 "msg": "账号或密码不正确！",
  63.                 "data": None
  64.             }
  65.         return result
  66.

 第二步：把重写的序列化器配置起来。

2. 视图类关联新定义的序列化器(假如已经在system应用下，serializers.py文件下重写好了)。

        方式1：配置（TokenObtainPairView 视图类自己会找到它）

  1. SIMPLE_JWT = {
  2.   # It will work instead of the default serializer(TokenObtainPairSerializer).
  3.   "TOKEN_OBTAIN_SERIALIZER": "system.serializers.LoginSerializer",    # 应用.模块.类
  4.   # ...    
  5. }
   方式2(推荐这个,这样代码可读性高点)：views重写登录视图类，并指定自己写的序列化器、  url中改成用新的视图类

  1. from apps.system.serializers import  LoginSerializer
  2. from rest_framework_simplejwt.views import TokenObtainPairView
  3. # 2.登录类
  4. class LoginView(TokenObtainPairView):
  5.     serializer_class = LoginSerializer

 url也配置在应用中（有更好的代码可读性）即可

认证方式设置为jwttoken认证

在 Django 的 settings.py 文件中进行设置认证方式中添加：JWTAuthentication：

  1. # settings.py
  2.  
  3. REST_FRAMEWORK = {
  4.       # a.在全局指定默认的认证类（指定认证方式）
  5.     'DEFAULT_AUTHENTICATION_CLASSES': [
  6.         # 'rest_framework_jwt.authentication.JSONWebTokenAuthentication', # 先进行token认证(Django 3.1 版本不能用了)
  7.         'rest_framework_simplejwt.authentication.JWTAuthentication',
  8.         # b.Session会话认证
  9.         'rest_framework.authentication.SessionAuthentication',  # 次要进行session认证
  10.         'rest_framework.authentication.BasicAuthentication'
  11.     ],
  12.     # 指定使用的权限类
  13.     # a.在全局指定默认的权限类（当认证通过之后，可以获取何种权限）
  14.     'DEFAULT_PERMISSION_CLASSES': [
  15.         # AllowAny 不管是否有认证成功，都能获取所有权限
  16.         # IsAdminUser 管理员（管理员需要登录）具备所有权限
  17.         # IsAuthenticated 只要登录，就具备所有权限
  18.         # IsAuthenticatedOrReadOnly，如果登录了就具备所有权限，不登录只具备读取数据的权限
  19.         'rest_framework.permissions.AllowAny',
  20.     ],
  21.     # 其他设置...
  22. }

假如不登录

 登录，获取到token

 

 其他接口中请求头中，传递Authorization，值默认为Bearer  +空格 +   登录返回的access值

官方文档地址是：Simple JWT — Simple JWT 5.2.2.post27+g47b7a08 documentation

  1. 安装和配置
  2. JWT 认证的使用方法和示例
  3. 设置 JWT 认证的参数和选项
  4. 刷新令牌和滑动刷新令牌的使用
  5. 撤销令牌的使用方法
  6. JWT 认证视图
  7. 自定义认证逻辑
  8. 常见问题解答
声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/知新_RL/article/detail/638521
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号