Django中jwt的使用

一、jwt介绍和应用

JSON Web Tokens，用于安全的表示双方之间的声明。目前，jwt广泛应用在系统的用户认证方面，特别是现在前后端分离项目。

二、jwt认证流程

在项目开发中，一般会按照上图所示的过程进行认证，即：用户登录成功之后，服务端给用户浏览器返回一个token，以后用户浏览器要携带token再去向服务端发送请求，服务端校验token的合法性，合法则给用户看数据，否则，返回一些错误信息。
传统token方式和jwt在认证方面有什么差异？

• 传统token
  用户登录成功后，服务端生成一个随机token给用户，并且在服务端(数据库或缓存)中保存一份token，以后用户再来访问时需携带token，服务端接收到token之后，去数据库或缓存中进行校验token的是否超时、是否合法。

• jwt方式
  用户登录成功后，服务端通过jwt生成一个随机token给用户（服务端无需保留token），以后用户再来访问时需携带token，服务端接收到token之后，通过jwt对token进行校验是否超时、是否合法。

三、jwt创建token

• 原理
  jwt的生成token格式如下，即：由. 连接的三段字符串组成。

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiIsInR5cGUiOiJqd3QifQ.eyJwaG9uZSI6IjE3ODU0MDE5MDkxIiwidHlwZSI6MCwiZXhwIjoxNjE0MTU0OTQxfQ.Le4nu1mICF8RHYfs5542B9v-95ba9mTDZ0kPwdjEDcw

生成规则如下：

• 第一段HEADER部分，固定包含算法和token类型，对此json进行base64url加密，这就是token的第一段

{
  "alg": "HS256",
  "typ": "JWT"
}

• 第二段PAYLOAD部分，包含一些数据，对此json进行base64url加密，这就是token的第二段

{
  "phone": "18888888",
  "name": "John Doe",
  "iat": 123456789
  ...
}

• 第三段SIGNATURE部分，把前两段的base密文通过.拼接起来，然后对其进行HS256加密，再然后对HS256密文进行base64url加密，最终得到token的第三段。

源码:
json_payload = json.dumps(
            payload, separators=(",", ":"), cls=json_encoder
        ).encode("utf-8")

return api_jws.encode(json_payload, key, algorithm, headers, json_encoder)

最后将三段字符串通过 .拼接起来就生成了jwt的token。

四、代码实现

基于Python的pyjwt模块创建jwt的token。

• 安装

pip install pyjwt

• 实现

import datetime

import jwt
from django.conf import settings


def create_token(payload, timeout=30):
    slat = settings.SECRET_KEY
    # slat = 'ssss'
    # 构造header
    headers = {
        'type': 'jwt',
        'alg': 'HS256'
    }
    # 构造payload
    payload = {
        'user_id': 1, # 自定义用户ID
        'username': 'xiaohao', # 自定义用户名
        'exp': datetime.datetime.now() + datetime.timedelta(minutes=5) # 超时时间
    }
    token = jwt.encode(payload=payload, key=slat, algorithm='HS256', headers=headers)
    return token


if __name__ == '__main__':
    print(create_token({"username": "123455"}))

五、 jwt校验token

一般在认证成功后，把jwt生成的token返回给用户，以后用户再次访问时候需要携带token，此时jwt需要对token进行超时及合法性校验。

获取token之后，会按照以下步骤进行校验：

• 将token分割成 header_segment、payload_segment、crypto_segment 三部分

• 对第一部分header_segment进行base64url解密，得到header

• 对第二部分payload_segment进行base64url解密，得到payload

• 对第三部分crypto_segment进行base64url解密，得到signature
  对第三部分signature部分数据进行合法性校验

  • 拼接前两段密文，即：signing_input
  • 从第一段明文中获取加密算法，默认：HS256
  • 使用 算法+盐 对signing_input 进行加密，将得到的结果和signature密文进行比较。

from rest_framework.authentication import BaseAuthentication
from rest_framework.exceptions import AuthenticationFailed
import jwt
from jwt import exceptions
from django.conf import settings


class JwtQueryParamsAuth(BaseAuthentication):
    def authenticate(self, request):
        token = request.query_params.get('token')
        salt = settings.SECRET_KEY
        payload = None
        message = None
        try:
            payload = jwt.decode(jwt=token, key=salt, algorithms=['HS256'])
            print(payload)
        except exceptions.ExpiredSignatureError:
            raise AuthenticationFailed({"success": False, "message": "token已失效"})
        except jwt.DecodeError:
            raise AuthenticationFailed({"success": False, "message": "token认证失败"})
        except jwt.InvalidTokenError:
            raise AuthenticationFailed({"success": False, "message": "非法token"})

        return payload, token

在settings视图中设置

REST_FRAMEWORK = {
    "DEFAULT_AUTHENTICATION_CLASSES": ['extensions.auth.JwtQueryParamsAuth'] #你的验证路径
}

在登录视图中和其他不需要验证的视图中设置

class LoginToken(APIView):
    authentication_classes = []

    def post(self, request, *args, **kwargs):
   	..........

在视图中取出该登陆用户使用request.user。数据就是解密后返回的数据。该例子中也就是payload和token。