對外提供API不用django rest framework（DRF）就是旁門左道嗎？

基于Token的鑒權機制越來越多的用在了項目中，尤其是對于純后端只對外提供API沒有web頁面的項目，例如我們通常所講的前后端分離架構中的純后端服務，只提供API給前端，前端通過API提供的數據對頁面進行渲染展示或增加修改等，我們知道HTTP是一種無狀態的協議，也就是說后端服務并不知道是誰發來的請求，那么如何校驗請求的合法性呢？這就需要通過一些方式對請求進行鑒權了

先來看看傳統的登錄鑒權跟基于Token的鑒權有什么區別

以Django的賬號密碼登錄為例來說明傳統的驗證鑒權方式是怎么工作的，當我們登錄頁面輸入賬號密碼提交表單后，會發送請求給服務器，服務器對發送過來的賬號密碼進行驗證鑒權，驗證鑒權通過后，把用戶信息記錄在服務器端（django_session表中），同時返回給瀏覽器一個sessionid用來唯一標識這個用戶，瀏覽器將sessionid保存在cookie中，之后瀏覽器的每次請求都一并將sessionid發送給服務器，服務器根據sessionid與記錄的信息做對比以驗證身份

Token的鑒權方式就清晰很多了，客戶端用自己的賬號密碼進行登錄，服務端驗證鑒權，驗證鑒權通過生成Token返回給客戶端，之后客戶端每次請求都將Token放在header里一并發送，服務端收到請求時校驗Token以確定訪問者身份

session的主要目的是給無狀態的HTTP協議添加狀態保持，通常在瀏覽器作為客戶端的情況下比較通用。而Token的主要目的是為了鑒權，同時又不需要考慮CSRF防護以及跨域的問題，所以更多的用在專門給第三方提供API的情況下，客戶端請求無論是瀏覽器發起還是其他的程序發起都能很好的支持。所以目前基于Token的鑒權機制幾乎已經成了前后端分離架構或者對外提供API訪問的鑒權標準，得到廣泛使用

JSON Web Token（JWT)是目前Token鑒權機制下最流行的方案，網上關于JWT的介紹有很多，這里不細說，只講下Django如何利用JWT實現對API的認證鑒權，搜了幾乎所有的文章都是說JWT如何結合DRF使用的，如果你的項目沒有用到DRF框架，也不想僅僅為了鑒權API就引入龐大復雜的DRF框架，那么可以接著往下看

我的需求如下：

同一個view函數既給前端頁面提供數據，又對外提供API服務，要同時滿足基于賬號密碼的驗證和JWT驗證

項目用了Django默認的權限系統，既能對賬號密碼登錄的進行權限校驗，又能對基于JWT的請求進行權限校驗

PyJWT介紹

要實現上邊的需求1，我們首先得引入JWT模塊，python下有現成的PyJWT模塊可以直接用，先看下JWT的簡單用法

安裝PyJWT

$ pip install pyjwt

利用PyJWT生成Token

>>> import jwt >>> encoded_jwt = jwt.encode({'username':'運維咖啡吧','site':'https://ops-coffee.cn'},'secret_key',algorithm='HS256')

這里傳了三部分內容給JWT，

第一部分是一個Json對象，稱為Payload，主要用來存放有效的信息，例如用戶名，過期時間等等所有你想要傳遞的信息

第二部分是一個秘鑰字串，這個秘鑰主要用在下文Signature簽名中，服務端用來校驗Token合法性，這個秘鑰只有服務端知道，不能泄露

第三部分指定了Signature簽名的算法

查看生成的Token

>>> print(encoded_jwt) b'eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VybmFtZSI6Ilx1OGZkMFx1N2VmNFx1NTQ5Nlx1NTU2MVx1NTQyNyIsInNpdGUiOiJodHRwczovL29wcy1jb2ZmZWUuY24ifQ.fIpSXy476r9F9i7GhdYFNkd-2Ndz8uKLgJPcd84BkJ4'

JWT生成的Token是一個用兩個點（.）分割的長字符串

點分割成的三部分分別是Header頭部，Payload負載，Signature簽名：Header.Payload.Signature

JWT是不加密的，任何人都可以讀的到其中的信息，其中第一部分Header和第二部分Payload只是對原始輸入的信息轉成了base64編碼，第三部分Signature是用header+payload+secret_key進行加密的結果

可以直接用base64對Header和Payload進行解碼得到相應的信息

>>> import base64 >>> base64.b64decode('eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9') b'{"typ":"JWT","alg":"HS256"}'>>> base64.b64decode('eyJ1c2VybmFtZSI6Ilx1OGZkMFx1N2VmNFx1NTQ5Nlx1NTU2MVx1NTQyNyIsInNpdGUiOiJodHRwczovL29wcy1jb2ZmZWUuY24ifQ==') # 這里最后加=的原因是base64解碼對傳入的參數長度不是2的對象，需要再參數最后加上一個或兩個等號=

因為JWT不會對結果進行加密，所以不要保存敏感信息在Header或者Payload中，服務端也主要依靠最后的Signature來驗證Token是否有效以及有無被篡改

解密Token

>>> jwt.decode(encoded_jwt,'secret_key',algorithms=['HS256']) {'username': '運維咖啡吧', 'site': 'https://ops-coffee.cn'}

服務端在有秘鑰的情況下可以直接對JWT生成的Token進行解密，解密成功說明Token正確，且數據沒有被篡改

當然我們前文說了JWT并沒有對數據進行加密，如果沒有secret_key也可以直接獲取到Payload里邊的數據，只是缺少了簽名算法無法驗證數據是否準確，pyjwt也提供了直接獲取Payload數據的方法，如下

>>> jwt.decode(encoded_jwt, verify=False) {'username': '運維咖啡吧', 'site': 'https://ops-coffee.cn'}

Django案例

Django要兼容session認證的方式，還需要同時支持JWT，并且兩種驗證需要共用同一套權限系統，該如何處理呢？我們可以參考Django的解決方案：裝飾器，例如用來檢查用戶是否登錄的login_required和用來檢查用戶是否有權限的permission_required兩個裝飾器，我們可以自己實現一個裝飾器，檢查用戶的認證模式，同時認證完成后驗證用戶是否有權限操作

于是一個auth_permission_required的裝飾器產生了：

from django.conf import settings from django.http import JsonResponse from django.contrib.auth import get_user_model from django.core.exceptions import PermissionDeniedUserModel = get_user_model()def auth_permission_required(perm):def decorator(view_func):def _wrapped_view(request, *args, **kwargs):# 格式化權限perms = (perm,) if isinstance(perm, str) else permif request.user.is_authenticated:# 正常登錄用戶判斷是否有權限if not request.user.has_perms(perms):raise PermissionDeniedelse:try:auth = request.META.get('HTTP_AUTHORIZATION').split()except AttributeError:return JsonResponse({"code": 401, "message": "No authenticate header"})# 用戶通過API獲取數據驗證流程if auth[0].lower() == 'token':try:dict = jwt.decode(auth[1], settings.SECRET_KEY, algorithms=['HS256'])username = dict.get('data').get('username')except jwt.ExpiredSignatureError:return JsonResponse({"status_code": 401, "message": "Token expired"})except jwt.InvalidTokenError:return JsonResponse({"status_code": 401, "message": "Invalid token"})except Exception as e:return JsonResponse({"status_code": 401, "message": "Can not get user object"})try:user = UserModel.objects.get(username=username)except UserModel.DoesNotExist:return JsonResponse({"status_code": 401, "message": "User Does not exist"})if not user.is_active:return JsonResponse({"status_code": 401, "message": "User inactive or deleted"})# Token登錄的用戶判斷是否有權限if not user.has_perms(perms):return JsonResponse({"status_code": 403, "message": "PermissionDenied"})else:return JsonResponse({"status_code": 401, "message": "Not support auth type"})return view_func(request, *args, **kwargs)return _wrapped_viewreturn decorator

在view使用時就可以用這個裝飾器來代替原本的login_required和permission_required裝飾器了

@auth_permission_required('account.select_user') def user(request):if request.method == 'GET':_jsondata = {"user": "ops-coffee","site": "https://ops-coffee.cn"}return JsonResponse({"state": 1, "message": _jsondata})else:return JsonResponse({"state": 0, "message": "Request method 'POST' not supported"})

我們還需要一個生成用戶Token的方法，通過給User model添加一個token的靜態方法來處理

class User(AbstractBaseUser, PermissionsMixin):create_time = models.DateTimeField(auto_now_add=True, verbose_name='創建時間')update_time = models.DateTimeField(auto_now=True, verbose_name='更新時間')username = models.EmailField(max_length=255, unique=True, verbose_name='用戶名')fullname = models.CharField(max_length=64, null=True, verbose_name='中文名')phonenumber = models.CharField(max_length=16, null=True, unique=True, verbose_name='電話')is_active = models.BooleanField(default=True, verbose_name='激活狀態')objects = UserManager()USERNAME_FIELD = 'username'REQUIRED_FIELDS = []def __str__(self):return self.username@propertydef token(self):return self._generate_jwt_token()def _generate_jwt_token(self):token = jwt.encode({'exp': datetime.utcnow() + timedelta(days=1),'iat': datetime.utcnow(),'data': {'username': self.username}}, settings.SECRET_KEY, algorithm='HS256')return token.decode('utf-8')class Meta:default_permissions = ()permissions = (("select_user", "查看用戶"),("change_user", "修改用戶"),("delete_user", "刪除用戶"),)

可以直接通過用戶對象來生成Token：

>>> from accounts.models import User >>> u = User.objects.get(username='admin@ops-coffee.cn') >>> u.token 'eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE1NDgyMjg3NzksImlhdCI6MTU0ODE0MjM3OSwiZGF0YSI6eyJ1c2VybmFtZSI6ImFkbWluQDE2My5jb20ifX0.akZNU7t_z2kwPxDJjmc-QxtNdICK0yhnwWmKxqqXKLw'

生成的Token給到客戶端，客戶端就可以拿這個Token進行鑒權了

>>> import requests >>> token = 'eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE1NDgyMjg4MzgsImlhdCI6MTU0ODE0MjQzOCwiZGF0YSI6eyJ1c2VybmFtZSI6ImFkbWluQDE2My5jb20ifX0.oKc0SafgksMT9ZIhTACupUlz49Q5kI4oJA-B8-GHqLA' >>> >>> r = requests.get('http://localhost/api/user', headers={'Authorization': 'Token '+token}) >>> r.json() {'username': 'admin@ops-coffee.cn', 'fullname': '運維咖啡吧', 'is_active': True}

這樣一個auth_permission_required方法就可以搞定上邊的全部需求了，簡單好用。

---

如果你覺得文章對你有幫助，請點右下角【好看】。如果你覺得讀的不盡興，推薦閱讀以下文章：

• Django+Echarts畫圖實例
• Django開發密碼管理表實例【附源碼】

轉載于:https://www.cnblogs.com/37Y37/p/10305437.html

《新程序員》：云原生和全面數字化實踐50位技術專家共同創作，文字、視頻、音頻交互閱讀

總結

以上是生活随笔為你收集整理的Django+JWT实现Token认证的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。