166.JWT简介与Django中使用JWT

最新推荐文章于 2024-09-21 20:08:30 发布
最新推荐文章于 2024-09-21 20:08:30 发布
阅读量977 收藏 2
点赞数
分类专栏： Python_Django框架 文章标签： django python 后端 数据库 web
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_63953077/article/details/128176948
版权

1. JWT

1.1 JWT概述

在这里插入图片描述

基于django-rest-framework的登陆认证方式常用的大体可分为四种:

  1. BasicAuthentication：账号密码登陆验证
  2. SessionAuthentication：基于session机制会话验证
  3. TokenAuthentication： 基于令牌的验证
  4. JSONWebTokenAuthentication：基于Json-Web-Token的验证(对第三种进行封装，最常用的方式)
    我们前面演示的就是第1,2种认证方式，而实际项目中，最常用的就是JWT的方式
    JWT具有以下优点：
  5. 签名的方式验证用户信息，安全性较之一般的认证高
  6. 加密后的字符串保存于客户端浏览器中，减少服务器存储压力
  7. 签名字符串中存储了用户部分的非私密信息，能够减少服务器数据库的开销
  8. 能够不需要做任何额外工作，即可实现单点登录
    缺点：
  9. 采用对称加密，一旦被恶意用户获取到加密方法，就可以不断破解入侵获取信息
  10. 加大了服务器的计算开销
    61

1.2 JWT简介

JWT 是一个开放标准(RFC 7519)，它定义了一种用于简洁，自包含的用于通信双方之间以 JSON 对象的形式安全传递信息的方法。

1.3 JWT 组成

在这里插入图片描述

  • header、Payload和Signature之间用 . 号连接
  • Header 头部
    头部包含了两部分，token 类型和采用的加密算法
{
 "alg": "HS256",
 "typ": "JWT"
}
  • typ : （Type）类型，指明类型是 JWT 。
  • alg : （Algorithm）算法，必须是JWS支持的算法，主要是HS256和RS256
    它会使用 base64url编码组成 JWT 结构的第一部分
  • Payload 负载
    这部分就是我们存放信息的地方了，你可以把用户 ID 等信息放在这里，JWT 规范里面对这部分有进行了比较详细的介绍，JWT 规定了7个官方字段，供选用
iss (issuer)：签发人
exp (expiration time)：过期时间，时间戳
sub (subject)：主题
aud (audience)：受众
nbf (Not Before)：生效时间，时间戳
iat (Issued At)：签发时间，时间戳
jti (JWT ID)：编号

常用的有iss、iat、exp、aud和sub
同样的，它会使用 base64url 编码组成 JWT 结构的第二部分

  • Signature 签名
    签名的作用是保证 JWT 没有被篡改过
    前面两部分都是使用 base64url 进行编码的，前端可以解开知道里面的信息。Signature 需要使用编码后的 header 和 payload 以及我们提供的一个密钥，这个密钥只有服务器才知道，不能泄露给用户，然后使用 header 中指定的签名算法（HS256）进行签名。
HMACSHA256(
 base64UrlEncode(header) + "." +
 base64UrlEncode(payload),
 secret)

算出签名以后，把 Header、Payload、Signature 三个部分拼成一个字符串，每个部分之间用"点"（.）分隔，就可以返回给用户

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6ImFkbWluIiwiZXhwIjoxNTY3MTU2MTA5LCJlbWFpbCI6ImFkbWluQGV4YW1wbGUuY29tIiwib3JpZ19pYXQiOjE1NjY1NTEzMDl9.VwVwdkQalKip4Cp1_8QjcqR0n_S9w3jgUJEf3oO4PoI
  • 签名的目的
    最后一步签名的过程，实际上是对头部以及负载内容进行签名，防止内容被篡改。如果有人对头部以及负载的内容解码之后进行修改，再进行编码，最后加上之前的签名组合形成新的JWT的话，那么服务器端会判断出新的头部和负载形成的签名和JWT附带上的签名是不一样的。如果要对新的头部和负载进行签名，在不知道服务器加密时用的密钥的话，得出来的签名也是不一样的。

2. JWT的使用方式

2.1 JWT流程

客户端收到服务器返回的 JWT，可以储存在 Cookie 里面，也可以储存在 localStorage。

此后，客户端每次与服务器通信，都要带上这个 JWT。你可以把它放在 Cookie 里面自动发送，但是这样不能跨域，所以更好的做法是放在 HTTP 请求的头信息 Authorization 字段里面。
在这里插入图片描述

  1. 首先，前端通过Web表单将自己的用户名和密码发送到后端的接口。这一过程一般是一个HTTP POST请求。建议的方式是通过SSL加密的传输（https协议），从而避免敏感信息被嗅探。
  2. 后端核对用户名和密码成功后，将用户的id等其他信息作为JWTPayload（负载），将其与头部分别进行Base64编码拼接后签名，形成一个JWT。形成的JWT就是一个形同lll.zzz.xxx的字符串。
  3. 后端将JWT字符串作为登录成功的返回结果返回给前端。前端可以将返回的结果保存在localStorage或sessionStorage上，退出登录时前端删除保存的JWT即可。
  4. 前端在每次请求时将JWT放入HTTP Header中的Authorization位。(解决XSS和XSRF问题）
  5. 后端检查是否存在，如存在验证JWT的有效性。例如，检查签名是否正确；检查Token是否过期；检查Token的接收方是否是自己（可选）。

2.2 JWT 的几个特点

  1. JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。
  2. JWT 不加密的情况下，不能将秘密数据写入 JWT。
  3. JWT 不仅可以用于认证，也可以用于交换信息。有效使用JWT，可以降低服务器查询数据库的次数。
  4. JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token 的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。
  5. JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
    为了减6. 少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用
    HTTPS 协议传输。

3.项目中应用JWT

3.1 安装JWT

pip install djangorestframework-jwt==1.11.0

3.2 配置settings

REST_FRAMEWORK = {
    # 默认的验证是按照验证列表 从上到下 的验证
    'DEFAULT_AUTHENTICATION_CLASSES': (
    # 配置JWT认证
    'rest_framework_jwt.authentication.JSONWebTokenAuthentication',
    # 配置session_id认证
    'rest_framework.authentication.SessionAuthentication',
    # 配置默认的认证方式 base:账号密码验证
    'rest_framework.authentication.BasicAuthentication',
   )
}
import datetime
JWT_AUTH = {
    # 允许刷新token
    'JWT_ALLOW_REFRESH': True,
    # 每次刷新后，token的有效时间
    'JWT_EXPIRATION_DELTA':datetime.timedelta(days=1),
    # 生成 token 后，最大的有效时间：在有效期内通过刷新可以保持token有效；超过这个时间后，token失效，刷新也不起作用
    'JWT_REFRESH_EXPIRATION_DELTA':datetime.timedelta(days=30),
}

在这里插入图片描述

3.3 URLS

在根路由或子应用项目下配置JWT登录的url路由，本问配置在根urls下：
根路由

from django.contrib import admin
from django.urls import path,include
from rest_framework_jwt.views import obtain_jwt_token
urlpatterns = [
    path('api-token-auth/', obtain_jwt_token),
    path('admin/', admin.site.urls),
    path('',include('rest_app.urls')),
    path('api-auth/',include('rest_framework.urls')),
]

3.4 登录JWT，获取token

#url参数提交
curl http://127.0.0.1:8000/api-token-auth/ -i -X POST -d "username=admin&password=admin"
#json格式提交
curl http://127.0.0.1:8000/api-token-auth/ -i -X POST -H "Content-Type:application/json" -d {\"username\":\"admin\",\"password\":\"admin\"}

在这里插入图片描述

3.5 应用jwt操作数据

新增数据

curl http://127.0.0.1:8000/students/ -X POST -H "Content-Type:application/json" -d {\"name\":\"jwt_stu\",\"age\":24,\"sex\":1} -H "Authorization:JWT eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6ImFkbWluIiwiZXhwIjoxNjcwNTgzNDUyLCJlbWFpbCI6ImFkbWluQGFkbWluLmNvbSIsIm9yaWdfaWF0IjoxNjcwNDk3MDUyfQ.StD1MHJHTvLgKy6yFEpBnp9D8BP3D_WyXJsVD6ObjBo"

删除数据

curl http://127.0.0.1:8000/students/9/ -i -X DELETE -H"Authorization:JWT eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6ImFkbWluIiwiZXhwIjoxNjcwNTgzNDUyLCJlbWFpbCI6ImFkbWluQGFkbWluLmNvbSIsIm9yaWdfaWF0IjoxNjcwNDk3MDUyfQ.StD1MHJHTvLgKy6yFEpBnp9D8BP3D_WyXJsVD6ObjBo"

在这里插入图片描述
{“detail”:“You do not have permission to perform this action.”}
若无携带token时，会存在此报错

3.6 刷新token

添加配置url

from django.contrib import admin
from django.urls import path,include
from rest_framework_jwt.views import obtain_jwt_token,refresh_jwt_token
urlpatterns = [
    path('api-token-refresh/', refresh_jwt_token),
]

使用

curl http://127.0.0.1:8000/api-token-refresh/ -X POST -H "Content-Type:application/json" -d {\"token\":\"eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6ImFkbWluIiwiZXhwIjoxNjcwNTgzNDUyLCJlbWFpbCI6ImFkbWluQGFkbWluLmNvbSIsIm9yaWdfaWF0IjoxNjcwNDk3MDUyfQ.StD1MHJHTvLgKy6yFEpBnp9D8BP3D_WyXJsVD6ObjBo\"}

在这里插入图片描述

3.7 认证token

有些应用中，有专门的服务器认证token，当其他其他服务器得到token之后，传递给专门的服务器认证token
urls

from django.contrib import admin
from django.urls import path,include
from rest_framework_jwt.views import obtain_jwt_token,refresh_jwt_token,verify_jwt_token
urlpatterns = [
    path('api-token-auth/', obtain_jwt_token),
    path('api-token-refresh/', refresh_jwt_token), # POST刷新JWT的token的url
    path("api-token-verify/", verify_jwt_token), # 传递给专门的服务器认证token
    path('admin/', admin.site.urls),
    path('',include('rest_app.urls')),
    path('api-auth/',include('rest_framework.urls')),
]

使用

curl http://127.0.0.1:8000/api-token-verify/ -X POST -H "Content-Type: application/json" -d {\"token\":\"eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6ImFkbWluIiwiZXhwIjoxNjcwNTgzNDUyLCJlbWFpbCI6ImFkbWluQGFkbWluLmNvbSIsIm9yaWdfaWF0IjoxNjcwNDk3MDUyfQ.StD1MHJHTvLgKy6yFEpBnp9D8BP3D_WyXJsVD6ObjBo\"}

token正确与错误的效果
在这里插入图片描述

Django+JWT实现Token认证
weixin_34174422的博客
01-22 2011
对外提供API不用django rest framework（DRF）就是旁门左道吗？ 基于Token的鉴权机制越来越多的用在了项目中，尤其是对于纯后端只对外提供API没有web页面的项目，例如我们通常所讲的前后端分离架构中的纯后端服务，只提供API给前端，前端通过API提供的数据对页面进行渲染展示或增加修改等，我们知道HTTP是一种无状态的协议，也就是说后端服务并不知道是谁发来的请求，那么如...
Django中的JWT
weixin_42234345的博客
06-28 2367
Django中的JWT一、什么是JWT（Json Web Token）二、与session对比的优缺点2.1 优点2.2 缺点三、JWT的构成3.1 头部3.2 有效载荷（其实就是放内容的）3.3 签名3.4 样例四、django中的应用4.1 后端安装与配置4.2 前端写法 一、什么是JWT（Json Web Token） 顾名思义，JWT就是Json Web Token，是在web应用中基于json的一种身份验证机制。 本质上就是把用户的信息通过base64编码后，加上一个头和一个签名，然后当作身份令牌
django实现JWT
ZJX_959的博客
09-18 704
json web token的结构 jwt的结构由三个部分组成： Header Payload Signature header头的格式如下 headers = { #typ 属性表示令牌类型，这里就是 JWT。 'typ': ' jwt', # alg 属性表示签名所使用的算法，JWT 签名默认的算法为 HMAC SHA256 ， alg 属性值 HS256 就是 HMAC SHA256 算法 'alg
django-rest-framework-jwt与django-rest-framework-simplejwt的对比及使用
最新发布
2401_87298624的博客
09-21 1751
作者在YouTube讲解Token结构通过他的讲解，我们发现token分为三部分，以"."进行分割，使用Base64编码。作者讲解Header需要加参数通过作者讲解可知道，添加验证后，需要在Header中添加参数Authorization,内容为 JWT。通过使用文档，我们可以简单的了解并进行基本配置。上面是b站的，没有字幕，油管上面有。
django中使用JWT
wolflxiaolu的博客
04-24 6216
1.pyJWT简述 因http协议本身为无状态，这样每次用户发出请求，我们并不能区分是哪个用户发出的请求，这样我们可以通过保存cookie以便于识别是哪个用户发来的请求，传统凡事基于session认证。但是这种认证本身很多缺陷，扩展性差，CSRF等问题。JWT(Json web token) 相比传统token，设计更为紧凑且安全。通过JWT可以实现用户认证等操作。 pyJWT下载 pip install pyJWT JWT构成： eyJ0eXAiOiJKV1QiLC
Django 后端架构开发：JWT 项目实践与Drf版本控制
weixin_52392194的博客
08-21 1756
JWT在Django项目中的应用实践，REST Framework的身份验证与权限管理，以及多种版本控制策略。通过这些知识的掌握，可以构建一个功能完善、安全可靠、易于扩展的Django后端服务，为前端开发者和客户端用户提供稳定而灵活的API支持
详解Django配置JWT认证方式
09-16
Django REST framework与`djangorestframework-simplejwt`库结合使用，可以轻松实现JWT的集成。 首先，我们需要安装必要的库。在命令行中运行以下命令，安装`djangorestframework-simplejwt`和`djangorestframework...
Django项目中使用JWT的实现代码
01-02
1.requiremwnts： Django版本：2.2 python版本：3.6 djangorestframework版本：3.1 djangorestframework-...2）使用语句 python manage.py startapp django_restframework_jwt新建一个名为django_restframework_j
Django如何使用jwt获取用户信息
09-17
在Django中，JWT（Json Web Token）是一种用于身份验证的流行方法，它允许服务器向客户端颁发一个令牌，客户端在后续请求中携带该令牌以验证其身份。与传统的Cookie和Session相比，JWT提供了更好的可扩展性和安全性...
Django-JWT的使用
蟹老板的博客
01-29 1022
JWT应用： 在用户注册或登录后，我们想记录用户的登录状态，或者为用户创建身份认证的凭证。我们不再使用Session认证机制，而使用Json Web Token认证机制。 什么是JWT？ Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资.
Django实现JWT - 邱乘屹的个人技术博客
weixin_47074764的博客
06-02 625
Django实现JWT安装配置配置setting使用django的user model设置序列化器代码实现自定义验证 自定义验证方式：要求手机或者邮箱也可作为登陆手段 djangorestfarmework-jwt需要结合Django自带的用户验证系统 一起使用 安装配置 pip install djangorestframework-jwt 配置setting ########### 1、在INSTALLED_APPS中加入'rest_framework.authtoken', ############
django项目中使用JWT(djangorestframework-jwt)
2301_76931745的博客
08-01 803
如果我们还需在返回值中增加username和user_id。通过重写视图的返回值可以完成我们的需求。"""自定义jwt认证成功返回数据"""return {'token': token, # 返回jwt签发的token'id': user.id, # 返回用户ID'username': user.username # 返回用户的用户名注意需要修改配置文件# JWT配置# token有效期# 指明自定义返回数据在哪个函数中。
DJANGO后端开发简单员工管理系统实现登录功能中的JWT验证(零基础也可以看懂)
weixin_63603830的博客
05-08 1056
基于DJANGO的登录功能中的JWT原理，步骤，实现方法
初学Django：使用Python官方的hmac库生成JWT
KnairWang的博客
01-16 1184
最近在自学Django,然后就了解到有一种叫做JWT的无状态授权方式，觉得挺合适，就稍稍了解了一下。 首先，JWT的官网应该是 jwt.io，这个网站的首页上有一个 JWT Debugger，可以在线编码/解码JWT。 具体JWT的格式我就不在这里说了，可以看上面的官网或者自行搜索。 使用 hmac-sha256 来编码官网上给出的实例的 python 代码如下： [python] im...
JsonWebToken
aidikou5257的博客
01-24 162
概述 如果各位不了解 JWT，不要紧张，它并不可怕。 JSON Web Token（JWT）是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。 让我们来假想一下一个场景。在A用户关注了B用户的时候，系统发邮件给B用户，并且附有一个链接“点此关注A用户”。链接的地址可以是这样的 https://www.xxxx.com/make-friend/?f...
Django REST Framework完整教程-认证与权限-JWT的使用
插件开发
10-18 4097
IsAuthenticatedOrReadOnly 类并不能实现只有文章 article 的创建者才可以更新或删除它，这时我们还需要自定义一个名为IsOwnerOrReadOnly 的权限类，把它加入到ArticleDetail视图里。"""自定义权限只允许对象的创建者才能编辑它。"""# 读取权限被允许用于任何请求，# 所以我们始终允许 GET，HEAD 或 OPTIONS 请求。# 写入权限只允许给 article 的作者。
jwt是什么
月守护的博客
01-09 481
简介 JSON Web Tokens，是一种开发的行业标准 RFC 7519 ，用于安全的表示双方之间的声明。目前，jwt广泛应用在系统的用户认证方面，特别是在前后端分离项目中。 附加链接：为什么要有认证及其实现方式 1. jwt认证流程 在项目开发中，一般会按照上图所示的过程进行认证，即：用户登录成功之后，服务端给用户浏览器返回一个token，以后用户浏览器要携带token再去向服务端发送请求...
Django实战: 使用JWT Token进行用户认证
大江狗
04-20 6480
编者注:一般Web应用开发验证用户信息有两种方式，一是使用session，二是使用token。下文详细对比了两者的区别，介绍了Token认证的原理及如何在Django项目简单实现tok...
django中使用jwt
watermelon
01-07 870
前后端分离项目中经常使用用户验证，为什么要使用验证，因为http是无状态 的，无法辨别是否正确，早起的cookie、session、token，以及现在说的jwt认证 jwt和token类似，最大的区别是token要保存在服务端造成后端存储压力增大，因此使用jwt 在django中使用jwt认证 创建django项目 导入相关依赖 具体代码一下 extensions文件夹下创建一个auth.py文件 #!/usr/bin/env python # -*- coding:utf-8 -*- from rest
Django Rest Framework JWT 使用详解与原理剖析
在Django Rest Framework中使用JWT，首先需要安装`djangorestframework-jwt`库，然后配置设置，包括设置JWT的秘钥、过期时间等。接着，你可以创建认证类来处理JWT的生成和验证，例如`JWTAuthentication`。在视图函数...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

想成为数据分析师的开发工程师

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值