jwt认证 drf中使用simple-jwt以及容易出现的问题

奥斯曼之剑

已于 2024-02-02 14:04:51 修改

阅读量1.1k

点赞数 36

分类专栏： python python web开发文章标签： django

于 2024-02-02 13:55:51 首次发布

本文链接：https://blog.csdn.net/huangshiyu123456/article/details/135992324

版权

python web开发同时被 2 个专栏收录

3 篇文章 0 订阅

订阅专栏

python

1 篇文章 0 订阅

订阅专栏

DRF中使用jwt (避坑版)

文章目录

DRF中使用jwt (避坑版)

1.什么是jwt

1.1 jwt简介

JSON Web Token (JWT) 是一种开放标准 ( RFC 7519 )，它定义了一种紧凑且独立的方式，用于在各方之间以 JSON 对象的形式安全地传输信息。该信息可以被验证和信任，因为它是经过数字签名的。JWT 可以使用密钥（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。

尽管 JWT 可以加密以在各方之间提供保密性，但我们将重点关注签名令牌。签名令牌可以验证其中包含的声明的完整性，而加密令牌则向其他方*隐藏这些声明。*当使用公钥/私钥对对令牌进行签名时，签名还证明只有持有私钥的一方才是对其进行签名的一方。

1.2 什么时候应该使用 jwt？

以下是 JSON Web 令牌一些场景：

授权：这是使用 JWT 最常见的场景。用户登录后，每个后续请求都将包含 JWT，从而允许用户访问该令牌允许的路由、服务和资源。单点登录是当今广泛使用 JWT 的一项功能，因为它的开销很小并且能够轻松地跨不同域使用。(支持跨域)
信息交换：JSON Web 令牌是在各方之间安全传输信息的好方法。因为 JWT 可以进行签名（例如，使用公钥/私钥对），所以您可以确定发送者就是他们所说的人。此外，由于签名是使用标头和有效负载计算的，因此您还可以验证内容是否未被篡改。

1.3 jwt优势

1.4 JSON Web Token 结构

样板：

xxxxx.yyyyy.zzzzz       -> 标头，有效载荷，签名

一个token解码后如下：

在这里插入图片描述

1.5 如何使用jwt token(acess token)

在请求api时候(前端向后端请求数据时),请求头headers加上

Authorization: Bearer <token>

2. django-rest-framework 集成simple jwt认证

2.1 安装

pip install djangorestframework-simplejwt

2.2 配置Settings文件

INSTALLED_APPS:在INSTALLED_APPS中添加djangorestframework_simplejwt应用程序：

INSTALLED_APPS = [
    # ...
    'rest_framework_simplejwt',
    
]

REST_FRAMEWORK：添加simplejwt到身份验证类列表中：

REST_FRAMEWORK = {
    ...
    'DEFAULT_AUTHENTICATION_CLASSES': (
        ...
        'rest_framework_simplejwt.authentication.JWTAuthentication',
        
    )
    ...
}

添加SIMPLE_JWT配置(按需设置)

# JWT配置
SIMPLE_JWT = {
    'ACCESS_TOKEN_LIFETIME': timedelta(minutes=5),  # Access Token的有效期
    'REFRESH_TOKEN_LIFETIME': timedelta(days=7),  # Refresh Token的有效期
    
    # 对于大部分情况，设置以上两项就可以了，以下为默认配置项目，可根据需要进行调整
    
    # 是否自动刷新Refresh Token
    'ROTATE_REFRESH_TOKENS': False,  
    # 刷新Refresh Token时是否将旧Token加入黑名单，如果设置为False，则旧的刷新令牌仍然可以用于获取新的访问令牌。需要将'rest_framework_simplejwt.token_blacklist'加入到'INSTALLED_APPS'的配置中
    'BLACKLIST_AFTER_ROTATION': False,  
    'ALGORITHM': 'HS256',  # 加密算法
    'SIGNING_KEY': settings.SECRET_KEY,  # 签名密匙，这里使用Django的SECRET_KEY

    # 如为True，则在每次使用访问令牌进行身份验证时，更新用户最后登录时间
    "UPDATE_LAST_LOGIN": False, 
    # 用于验证JWT签名的密钥返回的内容。可以是字符串形式的密钥，也可以是一个字典。
    "VERIFYING_KEY": "",
    "AUDIENCE": None,# JWT中的"Audience"声明,用于指定该JWT的预期接收者。
    "ISSUER": None, # JWT中的"Issuer"声明，用于指定该JWT的发行者。
    "JSON_ENCODER": None, # 用于序列化JWT负载的JSON编码器。默认为Django的JSON编码器。
    "JWK_URL": None, # 包含公钥的URL，用于验证JWT签名。
    "LEEWAY": 0, # 允许的时钟偏差量，以秒为单位。用于在验证JWT的过期时间和生效时间时考虑时钟偏差。

    # 用于指定JWT在HTTP请求头中使用的身份验证方案。默认为"Bearer"
    "AUTH_HEADER_TYPES": ("Bearer",), 
    # 包含JWT的HTTP请求头的名称。默认为"HTTP_AUTHORIZATION"
    "AUTH_HEADER_NAME": "HTTP_AUTHORIZATION", 
     # 用户模型中用作用户ID的字段。默认为"id"。
    "USER_ID_FIELD": "id",
     # JWT负载中包含用户ID的声明。默认为"user_id"。
    "USER_ID_CLAIM": "user_id",
    
    # 用于指定用户身份验证规则的函数或方法。默认使用Django的默认身份验证方法进行身份验证。
    "USER_AUTHENTICATION_RULE": "rest_framework_simplejwt.authentication.default_user_authentication_rule",

    #  用于指定可以使用的令牌类。默认为"rest_framework_simplejwt.tokens.AccessToken"。
    "AUTH_TOKEN_CLASSES": ("rest_framework_simplejwt.tokens.AccessToken",),
    # JWT负载中包含令牌类型的声明。默认为"token_type"。
    "TOKEN_TYPE_CLAIM": "token_type",
    # 用于指定可以使用的用户模型类。默认为"rest_framework_simplejwt.models.TokenUser"。
    "TOKEN_USER_CLASS": "rest_framework_simplejwt.models.TokenUser",

    # JWT负载中包含JWT ID的声明。默认为"jti"。
    "JTI_CLAIM": "jti",

    # 在使用滑动令牌时，JWT负载中包含刷新令牌过期时间的声明。默认为"refresh_exp"。
    "SLIDING_TOKEN_REFRESH_EXP_CLAIM": "refresh_exp",
    # 滑动令牌的生命周期。默认为5分钟。
    "SLIDING_TOKEN_LIFETIME": timedelta(minutes=5),
    # 滑动令牌可以用于刷新的时间段。默认为1天。
    "SLIDING_TOKEN_REFRESH_LIFETIME": timedelta(days=1),
    # 用于生成访问令牌和刷新令牌的序列化器。
    "TOKEN_OBTAIN_SERIALIZER": "rest_framework_simplejwt.serializers.TokenObtainPairSerializer",
    # 用于刷新访问令牌的序列化器。默认
    "TOKEN_REFRESH_SERIALIZER": "rest_framework_simplejwt.serializers.TokenRefreshSerializer",
    # 用于验证令牌的序列化器。
    "TOKEN_VERIFY_SERIALIZER": "rest_framework_simplejwt.serializers.TokenVerifySerializer",
    # 用于列出或撤销已失效JWT的序列化器。
    "TOKEN_BLACKLIST_SERIALIZER": "rest_framework_simplejwt.serializers.TokenBlacklistSerializer",
    # 用于生成滑动令牌的序列化器。
    "SLIDING_TOKEN_OBTAIN_SERIALIZER": "rest_framework_simplejwt.serializers.TokenObtainSlidingSerializer",
    # 用于刷新滑动令牌的序列化器。
    "SLIDING_TOKEN_REFRESH_SERIALIZER": "rest_framework_simplejwt.serializers.TokenRefreshSlidingSerializer",
}

2.3URL路由

urls.py中

from rest_framework_simplejwt.views import (
    TokenObtainPairView,
    TokenRefreshView,
    TokenVerifyView
)

urlpatterns = [
    ...
    path('api/token/', TokenObtainPairView.as_view(), name='token_obtain_pair'),
    path('api/token/refresh/', TokenRefreshView.as_view(), name='token_refresh')
]

你也可以手动签发token，适合自定义身份验证过程的情况。

class ManualTokenObtainView(APIView):
    def post(self, request, *args, **kwargs):
        username = request.data.get('username')
        password = request.data.get('password')

        # 在这里进行验证用户的用户名和密码

        if username and password:
            # 如果用户名和密码有效，签发 token，这里可以根据自己的要求
            user = YourUserModel.objects.get(username=username)
            refresh = RefreshToken.for_user(user)
			access_token = str(refresh.access_token)
			refresh_token = str(refresh.refresh_token)

            return Response({'access_token': access_token,
                            'refresh_token': refresh_token,
                            }, status=status.HTTP_200_OK)
        else:
            return Response({'error': 'Invalid credentials'}, status=status.HTTP_401_UNAUTHORIZED)

3. 避坑指南

有些小伙伴可能会像我一样，配置好了之后对接口进行测试，发现一直无法获取token成功，这可能和你的User模型设计有关，如果你使用自己定义User类，可能会出现Invalid credentials的离谱错误。
解决方案如下：

将你的User模型继承AbstractUser，这样在使用simple-jwt时候就能正常的获得和刷新令牌了。

settings.py 中添加以下变量(指明你设计的用户类)

AUTH_USER_MODEL = 'User.User'

设计的用户类示例：

import uuid

from django.contrib.auth.hashers import make_password
from django.db import models
from django.contrib.auth.models import AbstractUser,UserManager


# Create your models here.


class User(AbstractUser):
    user_uid = models.UUIDField(default=uuid.uuid4, editable=False,unique=True)
    name = models.CharField(max_length=32, null=False)
    feishu_uid = models.CharField(max_length=32, null=True)
    email = models.EmailField(unique=True, null=False)
    phone = models.CharField(max_length=11, unique=True, null=False)

    class UserRoleList(models.TextChoices):
        GU = 'U', '使用者'
        SM = 'S', '系统维护员'
        PM = 'P', '项目管理人员'

    user_role = models.CharField(max_length=1, choices=UserRoleList.choices, default='U')

    objects = UserManager()

    class Meta:
        verbose_name = 'User'
        verbose_name_plural = 'Users'
        db_table = 'user_table'

    def __str__(self):
        return self.name

    def save(self, *args, **kwargs):

        self.password = make_password(self.password)
        super().save(*args, **kwargs)

参考链接

https://zhuanlan.zhihu.com/p/633173061
https://jwt.io/introduction

奥斯曼之剑

关注

36
点赞
踩
36

收藏

觉得还不错? 一键收藏
0
评论
jwt认证 drf中使用simple-jwt以及容易出现的问题

JSON Web Token (JWT) 是一种开放标准 (RFC 7519)，它定义了一种紧凑且独立的方式，用于在各方之间以 JSON 对象的形式安全地传输信息。该信息可以被验证和信任，因为它是经过数字签名的。JWT 可以使用密钥（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。尽管 JWT 可以加密以在各方之间提供保密性，但我们将重点关注签名令牌。签名令牌可以验证其中包含的声明的完整性，而加密令牌则向其他方*隐藏这些声明。
复制链接

扫一扫