【关于P6阶段JWT管理员认证与短信验证个人理解】

最新推荐文章于 2022-09-07 09:37:24 发布

Jnin

最新推荐文章于 2022-09-07 09:37:24 发布

阅读量237

点赞数 1

文章标签：前端 django mysql python 数据库

本文链接：https://blog.csdn.net/h2463400852/article/details/125436864

版权

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

JWT使用and管理员认证和短信验证码

一.JWT
- 1.JWT介绍(理论)
- 2
二.Django管理认证
三.发送短信和短信校验
- 1.定义发送短信的验证码
- - 前端访问验证码接口
  - 验证码校验

一.JWT

1.JWT介绍(理论)

什么是JWT

Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准。该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录场景。JWT一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从服务器获取资源，也可以增加一些额外的其它业务逻辑的声明信息。
起源

说起JWT，我们应该来谈一谈基于token的认证和传统的session认证的区别。
传统的session认证

我们知道，http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，保存为cookie，以便下次请求时发送给我们的应用，这样应用就能识别请求来自哪个用户，这就是传统的基于session认证。

但是基于session的认证使应用本身很难得到扩展，随着不同客户端用户的增加，独立的服务器已无法承载更多的用户，而这时候基于session认证应用的问题就会暴露出来.
基于session认证所显露的问题

Session: 每个用户经过我们的应用认证之后，我们的应用都要在服务端做一次记录，以方便用户下次请求的鉴别，通常而言session都是保存在内存中，而随着认证用户的增多，服务端的开销会明显增大。

扩展性: 用户认证之后，服务端做认证记录，如果认证的记录被保存在内存中的话，这意味着用户下次请求还必须要请求在这台服务器上,这样才能拿到授权的资源，这样在分布式的应用上，相应的限制了负载均衡器的能力。即限制了应用的扩展能力。

CSRF: 因为是基于cookie来进行用户识别的, cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。
基于token的鉴权机制

基于token的鉴权机制，不需要在服务端去保留用户的认证信息。这就意味着应用不需要去考虑用户在哪一台服务器登录了，这就为应用的扩展提供了便利。

流程上是这样的：
```
·    用户使用`用户名密码`来请求服务器

·    服务器进行验证用户的信息

·    服务器通过验证发送给用户一个token

·    客户端存储token，并在每次请求时附送上这个token值

·    服务端验证token值，并返回数据
```
这个token必须要在每次请求时传递给服务端，它应该保存在请求头里，另外，服务端要支持CORS(``跨来源资源共享``)策略。
JWT长什么样？

JWT是由三段信息构成的，将这三段信息文本用.链接一起就构成了Jwt字符串。就像这样:

# JWT字符串
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

JWT的构成

第一部分我们称它为头部（header),第二部分我们称其为载荷（payload, 类似于飞机上承载的物品)，第三部分是签名（signature).
- header
  
  jwt的头部承载两部分信息：
```
·    声明类型，这里是jwt

·    声明加密的算法 通常直接使用 HMAC SHA256
```
  完整的头部就像下面这样的JSON：
```
{
  'typ': 'JWT',
  'alg': 'HS256'
}
```
  然后将头部进行base64编码，其中的”=“号占位符替换为”“，构成了第一部分.
```
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
```
- playload
  
  载荷就是存放有效信息，这些有效信息包含三个部分
  
  · 标准中注册的声明
  
  · 公共的声明
  
  · 私有的声明
  
  标准中注册的声明(建议但不强制使用) ：
  
  · iss: jwt签发者
  
  · sub: jwt所面向的用户
  
  · aud: 接收jwt的一方
  
  · exp: jwt的过期时间，这个过期时间必须要大于签发时间
  
  · nbf: 定义在什么时间之前，该jwt都是不可用的.
  
  · iat: jwt的签发时间
  
  · jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。
  
  公共的声明：公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息，但不建议添加敏感信息，因为该部分在客户端可解码.
  
  私有的声明：私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解码的，意味着该部分信息可以归类为明文信息。
  
  定义一个payload:
```
{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}
```
  然后将其进行base64编码，”=“号占位符替换为”“，得到Jwt的第二部分。
```
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
```
- signature
  
  jwt的第三部分是一个签名信息，由三部分组成：
  
  · header (base64后的)
  
  · payload (base64后的)
  
  · secret
  
  这个部分需要base64编码后的header和base64编码后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后base64编码，就构成了jwt的第三部分。

将这三部分用`.`连接成一个完整的字符串,构成了最终的jwt

# jwt
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

> 注意： secret是保存在服务器端的，jwt的签发生成也是在服务器端的，secret就是用来进行jwt的签发和jwt的验证，所以，它就是你服务端的私钥，在任何场景都不应该流露出去。一旦客户端得知这个secret,那就意味着客户端是可以自我签发jwt了.

如何应用

一般是在请求头里加入Authorization，并加上JWT标注：
```
axios.get('api/user/1', {
	params:{
	limit: 10
	}
  	headers: {
    'Authorization': 'JWT ' + token
  }
})
```
服务端会验证token，如果验证通过就会返回相应的资源。

2

JWT长什么样？

JWT是由三段信息构成的，将这三段信息文本用.链接一起就构成了Jwt字符串。就像这样:

# JWT字符串
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

JWT的构成

第一部分我们称它为头部（header),第二部分我们称其为载荷（payload, 类似于飞机上承载的物品)，第三部分是签名（signature).
- header
  
  jwt的头部承载两部分信息：
```
·    声明类型，这里是jwt

·    声明加密的算法 通常直接使用 HMAC SHA256
```
  完整的头部就像下面这样的JSON：
```
{
  'typ': 'JWT',
  'alg': 'HS256'
}
```
  然后将头部进行base64编码，其中的”=“号占位符替换为”“，构成了第一部分.
```
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
```
- playload
  
  载荷就是存放有效信息，这些有效信息包含三个部分
  
  · 标准中注册的声明
  
  · 公共的声明
  
  · 私有的声明
  
  标准中注册的声明(建议但不强制使用) ：
  
  · iss: jwt签发者
  
  · sub: jwt所面向的用户
  
  · aud: 接收jwt的一方
  
  · exp: jwt的过期时间，这个过期时间必须要大于签发时间
  
  · nbf: 定义在什么时间之前，该jwt都是不可用的.
  
  · iat: jwt的签发时间
  
  · jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。
  
  公共的声明：公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息，但不建议添加敏感信息，因为该部分在客户端可解码.
  
  私有的声明：私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解码的，意味着该部分信息可以归类为明文信息。
  
  定义一个payload:
```
{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}
```
  然后将其进行base64编码，”=“号占位符替换为”“，得到Jwt的第二部分。
```
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
```
- signature
  
  jwt的第三部分是一个签名信息，由三部分组成：
  
  · header (base64后的)
  
  · payload (base64后的)
  
  · secret
  
  这个部分需要base64编码后的header和base64编码后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后base64编码，就构成了jwt的第三部分。

将这三部分用`.`连接成一个完整的字符串,构成了最终的jwt

# jwt
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

> 注意： secret是保存在服务器端的，jwt的签发生成也是在服务器端的，secret就是用来进行jwt的签发和jwt的验证，所以，它就是你服务端的私钥，在任何场景都不应该流露出去。一旦客户端得知这个secret,那就意味着客户端是可以自我签发jwt了.

如何应用

一般是在请求头里加入Authorization，并加上JWT标注：
```
axios.get('api/user/1', {
	params:{
	limit: 10
	}
  	headers: {
    'Authorization': 'JWT ' + token
  }
})
```
服务端会验证token，如果验证通过就会返回相应的资源。

二.Django管理认证

djangorestframework-jwt扩展的登录视图，在收到用户名与密码时，也是调用Django的认证系统中提供的**authenticate()**来检查用户名与密码是否正确。

在这里插入图片描述
定义认证类需要导包

从backends 获取 ModelBackend
从 ashers 模块里面导入 check_password
中间那个导包是导入**.models里面的中的自己定义的User**

三.发送短信和短信校验

1.定义发送短信的验证码

在这里插入图片描述

from rest_framework.utils import json


from ronglian_sms_sdk import SmsSDK
accID = ""

accToken = ""

appID = ""
def send_message(sms_code, mobile, expire=5):
    """

    :param sms_code:  要发送的验证码
    :param mobile:   发送的手机号
    :param expire:  过期时间
    :return:
    """
    sdk = SmsSDK(accId=accID,accToken=accToken,appId=appID)
    # 准备数据
    tid = "1"
    datas = ("%s"%sms_code,"%s"%expire)  # 格式化生成字符串验证码
    #
    res = sdk.sendMessage(tid=tid,mobile=mobile,datas=datas)
    # django 就会向容联云发送一个短信
    
    data = json.loads(res)
    print("容联云响应的数据", data)
    print(data)
    if data.get('statusCode') == "000000":
        return True

    return False

参数	类型	说明
tid	String	短信模板 ID 测试号为“1”
mobile	String	发送手机号，多个以英文逗号分隔，最多 200 个号码
datas	tuple	替换短信模板占位符的内容变量

发送短信调用示例：

测试手机号需要第三方端帮助 <<容联云>> 简单测试
accID = “”
accToken = "
appID = “”
指的是登录到容联云官网,然后注册进入自己的账号获取以下
在这里插入图片描述

前端访问验证码接口

前端生成uuid

前端生成uuid便于保存验证码
// 生成uuid随机字符串
import {v4 as uuid4} from 'uuid'
generate_uuid() {
	return uuid4()
}

前端访问后台接口

// 手机验证码比对
        phone_verify() {
            // 实例化
            let form_data = new FormData()
            // 添加数据
            form_data.append('sms_code', this.sms_code)
            form_data.append('code_id', this.code_id)
            // 发送请求
            this.axios({
                url: '/users/phone_verify/',
                method: 'post',
                data: form_data
            }).then(res => {
                console.log(res.data)
            })

        },

验证码校验

class PhoneVerifyView(APIView):
    """
    手机验证码比对
    """
    def post(self, request):
        code_id = request.data.get('code_id')
        sms_code = request.data.get('sms_code')

        # 通过code_id来获取redis当中手机验证码，用来进行比对
        redis_code = sms_redis.get(code_id).decode()

        # 判断sms_code 和 redis_code 是否一致
        if sms_code == redis_code:
            return Response({'msg': 'OK', 'code': 200})
        else:
            return Response({'msg': '失败', 'code': 400})