django 用户认证之二：token的原理和用法

基于restframework 的用户验证跟 django 用户验证的区别 ：

django 用户验证只要是基于 cookie 与 session 来完成的。

 

我现在访问我的 restf api 接口时可以看到浏览器会有一个登陆 ，这里通过 django 创建的 超级用户

或者注册的用户就可以登陆

 

 

 

这是因为我们在 django 的url 中配置了

url(r'^api-auth/', include('rest_framework.urls', namespace='rest_framework')),

而 对应的 rest_framework.urls 有 包含 login 和 logout 两个url。

 

这里会让登陆验证变得很简单，但是 他会验证 csrf ，我们登陆时 django 返回的 html 中其实是

包含一个 csrf 的 code 的，用来做表单的 安全验证的。

所以

如果用户验证需要做成 restful api ，这个 自带的 login是无法拿来直接用的。

 

那如果我们需要做成一个前后端分离的用户验证， 就需要通过其他的方法。 【Auth 模块】

 

django 的 MIDDLEWARE 中包含的以下两个 MIDDLEWARE

'django.contrib.sessions.middleware.SessionMiddleware',

'django.contrib.auth.middleware.AuthenticationMiddleware',

可以在一个 request 进来的时候，将request里的 cookie 里面的 session_id 转换成

我们的 user ！！！！！ 也就是我们之前看到的 request.user 。

 

我们现在需要配置 restful 的 MIDDLEWARE ， 直接在 django 的 settings.py 里面添加

 

REST_FRAMEWORK = {

'DEFAULT_AUTHENTICATION_CLASSES': (

'rest_framework.authentication.BasicAuthentication',

'rest_framework.authentication.SessionAuthentication',

)

}

官方文档显示 restful 提供的 auth 有三种 ：

BasicAuthentication 、 TokenAuthentication 、 SessionAuthentication 。

其中 ：

SessionAuthentication ：跟django中的机制是一样的， 常用于浏览器，

因为浏览器会自动设置 cookie ，并将他的 cooike 和session 带到服务器，

所以前后端分离的系统用这种机制比较少见，但是还是可以做。

TokenAuthentication ： 是需要重点关注的，使用他前 ，必须先将 'rest_framework.authtoken'

添加到 django 的 INSTALLED_APPS 中。

INSTALLED_APPS = ( ... 'rest_framework.authtoken' )

这个 tokenauth 实际上会给我们创建一张表，凡是有表的 app 都要加入到 INSTALLED_APPS 中。

如果不加人，就不会帮我们生成这些表。

此时执行 migrate 进行数据迁移。

可以看到为我们生成了一张表，该表有一个外键指向我们的 UserProfile (用户信息)表。

 

一个用户对于一个 token 。

而我创建一个超级用户的时候，并没有在 authtoken_token 这张表里面给我添加一个对应的 token 。

这个 token 需要我们自己来创建 。创建方法如下 ，调用 Token 模块，将 user 传进去：

 

from rest_framework.authtoken.models import Token token = Token.objects.create(user=...) print token.key

 

所以 当用户注册时保存了提交的 UserProfile 之后，调用这段代码，把保存的 UserProfile 传进去。

这样就会生成 token 。

 

---------------------------------

 

而后端需要在 django 的 url 中配置 token 的url ：

from rest_framework.authtoken import views urlpatterns += [ url(r'^api-token-auth/', views.obtain_auth_token) ]

现在可以通过向 http://127.0.0.1:8000/api-token-auth/ 这个url 发送 post 请求并且携带

{

"username":"admin",

"password":"admin123456"

}

这个方式来获取 token ，发送请求后，他会返回一个 token 。此时如果这个 UserProfile

没有对应的 key ，就会在 authtoken_token 这张表创建一条数据 ，并且关联到你提交的

用户 ，给他生成一个 key 。

 

 

前端如何使用这个 token ？ 【把他放到 http 的 header 里面】

对于客户端进行身份验证，令牌密钥应该包含在AuthorizationHTTP头中。关键字应以字符串文字“Token”为前缀，用空格分隔两个字符串。例如：

Authorization: Token 9944b09199c62bcf9418ad846dd0e4bbdfc6ee4b

 

此时我在我的 url 请求的头部添加这个之后，访问我的 restful api 资源了后台获取到这个 token 后

还不能解析出这个 token 对应的用户是谁，我们需要在 REST_FRAMEWORK 里添加

'rest_framework.authentication.TokenAuthentication',

才能解析出对应的用户 。

REST_FRAMEWORK = {

'DEFAULT_AUTHENTICATION_CLASSES': (

'rest_framework.authentication.BasicAuthentication',

'rest_framework.authentication.SessionAuthentication',

'rest_framework.authentication.TokenAuthentication',

)

}

此时需要知道用户传递过来的 token 是什么 ，直接通过 request.auth 就可以看到。

完成 上面两步，就可以访问我的 restful api 资源了。

(以前需要登录，现在只要头部包含 这个 token 就可以访问。)

 

如果用户在 token 过期的情况下访问公共url ， 就会报错， 这个问题前端也可以解决，后端的解决方案是， 把这个 token 验证不放在 settings.py 里做全局验证， 只对部分接口做验证。

把 REST_FRAMEWORK 中下面这个

1. 'rest_framework.authentication.TokenAuthentication',

注释掉 ，

2.在需要做验证的视图那里 导入

from rest_framework.authentication import TokenAuthentication

然后在视图里添加 authentication_classes 属性。 因为要给他个元组， 所以记得用逗号

authentication_classes = (TokenAuthentication, )

 

 

这个 token 的缺点是 ：

1.这个token 是保存在服务器里面的。

如果我们是一个分布式系统，有两套子系统想要使用同一个认证系统，他就会出现问题，

因为他的 token 是放在某一台服务器的，如果是分布式的，那我们还得将这些用户同步过去。

2.这个 toen 是没有过期时间的，永久有效，一旦泄露了别人就可以一直用。