Django+JWT实现Token认证

对外提供API不用django rest framework（DRF）就是旁门左道吗？

基于Token的鉴权机制越来越多的用在了项目中，尤其是对于纯后端只对外提供API没有web页面的项目，例如我们通常所讲的前后端分离架构中的纯后端服务，只提供API给前端，前端通过API提供的数据对页面进行渲染展示或增加修改等，我们知道HTTP是一种无状态的协议，也就是说后端服务并不知道是谁发来的请求，那么如何校验请求的合法性呢？这就需要通过一些方式对请求进行鉴权了

先来看看传统的登录鉴权跟基于Token的鉴权有什么区别

以Django的账号密码登录为例来说明传统的验证鉴权方式是怎么工作的，当我们登录页面输入账号密码提交表单后，会发送请求给服务器，服务器对发送过来的账号密码进行验证鉴权，验证鉴权通过后，把用户信息记录在服务器端（django_session表中），同时返回给浏览器一个sessionid用来唯一标识这个用户，浏览器将sessionid保存在cookie中，之后浏览器的每次请求都一并将sessionid发送给服务器，服务器根据sessionid与记录的信息做对比以验证身份

Token的鉴权方式就清晰很多了，客户端用自己的账号密码进行登录，服务端验证鉴权，验证鉴权通过生成Token返回给客户端，之后客户端每次请求都将Token放在header里一并发送，服务端收到请求时校验Token以确定访问者身份

session的主要目的是给无状态的HTTP协议添加状态保持，通常在浏览器作为客户端的情况下比较通用。而Token的主要目的是为了鉴权，同时又不需要考虑CSRF防护以及跨域的问题，所以更多的用在专门给第三方提供API的情况下，客户端请求无论是浏览器发起还是其他的程序发起都能很好的支持。所以目前基于Token的鉴权机制几乎已经成了前后端分离架构或者对外提供API访问的鉴权标准，得到广泛使用

JSON Web Token（JWT)是目前Token鉴权机制下最流行的方案，网上关于JWT的介绍有很多，这里不细说，只讲下Django如何利用JWT实现对API的认证鉴权，搜了几乎所有的文章都是说JWT如何结合DRF使用的，如果你的项目没有用到DRF框架，也不想仅仅为了鉴权API就引入庞大复杂的DRF框架，那么可以接着往下看

我的需求如下：

1. 同一个view函数既给前端页面提供数据，又对外提供API服务，要同时满足基于账号密码的验证和JWT验证
2. 项目用了Django默认的权限系统，既能对账号密码登录的进行权限校验，又能对基于JWT的请求进行权限校验

PyJWT介绍

要实现上边的需求1，我们首先得引入JWT模块，python下有现成的PyJWT模块可以直接用，先看下JWT的简单用法

安装PyJWT

$ pip install pyjwt

利用PyJWT生成Token

>>> import jwt
>>> encoded_jwt = jwt.encode({'username':'运维咖啡吧','site':'https://ops-coffee.cn'},'secret_key',algorithm='HS256')

这里传了三部分内容给JWT，

第一部分是一个Json对象，称为Payload，主要用来存放有效的信息，例如用户名，过期时间等等所有你想要传递的信息

第二部分是一个秘钥字串，这个秘钥主要用在下文Signature签名中&