JSON WEB TOKEN

JWT概述

传统的session

​ http 协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。

​ 通常而言session都是保存在内存中，而随着认证用户的增多，服务端的开销会明显增大，限制了服务端的扩展性。

JWT概念

​ Json web token (JWT), 简单的来说，JWT就是一段符合json标准的字符串，有加密信息、过期时间、用户信息， 用来跟后台进行身份认证使用。一般用于分布式单点登录。

JWT流程

• 用户使用用户名密码来请求服务器
• 服务器进行验证用户的信息
• 服务器通过验证发送给用户一个token
• 客户端存储token，并在每次请求时附送上这个token值
• 服务端验证token值，并返回数据

JWT的构成

​ 第一部分我们称它为头部（header),第二部分我们称其为载荷（payload)，第三部分是签证（signature).

示例：eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJleHAiOjE2MjQzNzM5Nzl9.c1L9XViERmIVftTyuGjL6sALA42hRUw16P2_n0Yf5IE

实际应用 Django + Vue

后端登录场景

from django.contrib.auth.hashers import make_password, check_password
from rest_framework.views import APIView
from rest_framework.response import Response
from day15.settings import SECRET_KEY

import jwt
import datetime

from .models import User
from .serialzier import UserModelSerializer

class LoginView(APIView):
    """
    登录接口
    """
    def post(self, request):
        # 1、获取前端提交的内容
        username = request.data.get('username')
        password = request.data.get('password')
        # 2、获取一下用户对象，用来判断这个用户是不是本系统的。
        # 登录时，需要使用用户对象当中的password字段进行比较，所以需要使用first()，来获取query set当中第一个对象。
        user = User.objects.filter(username=username).first()
        # 3、如果用户存在，进行密码比对。
        if user and check_password(password, user.password):
            # 构建 payload
            payload = {
                'user_id': user.pk,
                # 过期时间； 当前时间往后加1天，明天的这个时间过期
                'exp': datetime.datetime.now() + datetime.timedelta(days=1)
            }
            # 生成token
            token = jwt.encode(payload, key=SECRET_KEY).decode()
            # 4、 密码比对成功，返回登录成功，并返回token值
            return Response({'msg': '登录成功', 'code': 200, 'token': token, 'user_id': user.pk})
        # 5、密码不正确，返回错误信息
        else:
            return Response({'msg': '用户名或者密码不正确', 'code': 400})

前端登录成功后进行状态保持

前端状态保持

if(res.data.code == 200) {
	// 登录成功，状态保持，并跳转页面
	localStorage.setItem('token', res.data.token)
	this.$router.push({
	name: 'Index'
	})
}

后端token校验

from train.settings import SECRET_KEY
# 从Vue中获取token,使用jwt进行比对校验
class IndexView(APIView):
    def get(self, request):
        token = request.query_params.get('token')
        user_info = jwt.decode(token, key=SECRET_KEY)
        return Response({'msg': 'OK'})

欢迎关注博主，一起成长！！！