Django rest framework jwt的使用方法詳解

更新時間：2019年08月08日 09:35:08 作者：Maple_feng

這篇文章主要介紹了Django rest framework jwt的使用方法詳解,文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下

一簡介

JWT 是一個開放標準(RFC 7519)，它定義了一種用于簡潔，自包含的用于通信雙方之間以 JSON 對象的形式安全傳遞信息的方法。該信息可以被驗證和信任，因為它是數(shù)字簽名的。JWTS可以使用秘密（使用HMAC算法）或公鑰/私鑰對使用RSA或ECDSA來簽名。

JWT的組成部分：

header

Header是由下面這個格式的Json通過Base64編碼（編碼不是加密，是可以通過反編碼的方式獲取到這個原來的Json，所以JWT中存放的一般是不敏感的信息）生成的字符串，Header中存放的內容是說明編碼對象是一個JWT以及使用“SHA-256”的算法進行加密（加密用于生成Signature）

playload

Payload是通過Claim進行Base64轉碼之后生成的一串字符串，Claim是一個Json，Claim中存放的內容是JWT自身的標準屬性，所有的標準屬性都是可選的，可以自行添加，比如：JWT的簽發(fā)者、JWT的接收者、JWT的持續(xù)時間等；同時Claim中也可以存放一些自定義的屬性，這個自定義的屬性就是在用戶認證中用于標明用戶身份的一個屬性，比如用戶存放在數(shù)據(jù)庫中的id，為了安全起見，一般不會將用戶名及密碼這類敏感的信息存放在Claim中。將Claim通過Base64轉碼之后生成的一串字符串稱作Payload。

signatrue

Signature是由Header和Payload組合而成，將Header和Claim這兩個Json分別使用Base64方式進行編碼，生成字符串Header和Payload，然后將Header和Payload以Header.Payload的格式組合在一起形成一個字符串，然后使用上面定義好的加密算法和一個密匙（這個密匙存放在服務器上，用于進行驗證）對這個字符串進行加密，形成一個新的字符串，這個字符串就是Signature。

簽名的目的：最后一步簽名的過程，實際上是對頭部以及負載內容進行簽名，防止內容被竄改。如果有人對頭部以及負載的內容解碼之后進行修改，再進行編碼，最后加上之前的簽名組合形成新的JWT的話，那么服務器端會判斷出新的頭部和負載形成的簽名和JWT附帶上的簽名是不一樣的。如果要對新的頭部和負載進行簽名，在不知道服務器加密時用的密鑰的話，得出來的簽名也是不一樣的。

rest_framework_jwt

rest_framework_jwt是一個封裝了jwt符合restful規(guī)范的接口

網(wǎng)站地址：http://getblimp.github.io/django-rest-framework-jwt/

安裝：pip install djangorestframework-jwt

二、配合drf的認證組件的使用方法

配置文件

#添加rest-framework
INSTALLED_APPS = [
  'django.contrib.admin',
  'django.contrib.auth',
  'django.contrib.contenttypes',
  'django.contrib.sessions',
  'django.contrib.messages',
  'django.contrib.staticfiles',
  'app01.apps.App01Config',
  "rest_framework",
]
REST_FRAMEWORK = {
  # 配置默認的認證方式 base:賬號密碼驗證
  #session：session_id認證
  'DEFAULT_AUTHENTICATION_CLASSES': (
    # drf的這一階段主要是做驗證,middleware的auth主要是設置session和user到request對象
    # 默認的驗證是按照驗證列表從上到下的驗證
    'rest_framework.authentication.BasicAuthentication',
    'rest_framework.authentication.SessionAuthentication',
    "rest_framework_jwt.authentication.JSONWebTokenAuthentication",
  )}
import datetime
# 超時時間
JWT_AUTH = {
  'JWT_EXPIRATION_DELTA': datetime.timedelta(days=1),
  # token前綴
  'JWT_AUTH_HEADER_PREFIX': 'JWT',
}
# 引用Django自帶的User表，繼承使用時需要設置
AUTH_USER_MODEL = "app01.User"

模型表

#使用django自帶的auth組件模型表
from django.db import models
from django.contrib.auth.models import AbstractUser
# Create your models here.
class User(AbstractUser):
  phone=models.CharField(max_length=11,null=True)

url路由層

from django.conf.urls import url
from django.contrib import admin
from rest_framework_jwt.views import obtain_jwt_token
from app01 import views
urlpatterns = [
  url(r'^admin/', admin.site.urls),
  # url(r'^home/', views.Home.as_view()),
  # 登入驗證，使用JWT的模塊，只要用戶密碼正確會自動生成一個token返回
  url(r'^login/', obtain_jwt_token),
  # 訪問需要認證的接口
  url(r'^index/', views.Index.as_view()),
]

view視圖層

from django.shortcuts import render
from django.http import JsonResponse
# Create your views here.
from rest_framework.views import APIView
from app01.jwtMiddleware import TokenAuth
class Index(APIView):　　#局部認證的配置
  authentication_classes = [TokenAuth,]
  def get(self,request):
    return JsonResponse({"index":"ok"})
class Home(APIView):
  def get(self,request):
    return render(request,"login.html")

rest-framework認證類

from rest_framework.exceptions import AuthenticationFailed
from rest_framework_jwt.serializers import VerifyJSONWebTokenSerializer
class TokenAuth():
  def authenticate(self, request):
    token={"token":None}
    # print(request.META.get("HTTP_TOKEN"))
    token["token"] = request.META.get('HTTP_TOKEN')
    valid_data = VerifyJSONWebTokenSerializer().validate(token)
    print(valid_data)
    user = valid_data['user']
    print(user)
    if user:
      return
    else:
      raise AuthenticationFailed('認證失敗')

模板

<!DOCTYPE html>
<html lang="en">
<head>
  <meta charset="UTF-8">
  <title>Title</title>
</head>
<body>
<form action="/login/" method="post">
  <input type="text" name="username">
  <input type="text" name="password">
  <input type="submit" value="登錄">
</form>
</body>
</html>

postman