DRF JWT 认证：理解 TokenObtainPairSerializer 和 TokenObtainPairView

摘要

在Web开发中，一种常用于处理用户身份验证的方法就是使用JWT(JSON WEB TOKEN。JWT就像是一种电子签证，它在网络世界中证明你是谁，并携带一些你的基本信息，服务器通过检查这个签证就能确认你的身份，而不需要你每次都出示你的身份证（用户名和密码）。

在 Django Rest Framework（DRF）中，rest_framework_simplejwt 是一个流行的库，用于处理 JWT 身份验证。这个库提供了一些有用的工具和类，如 TokenObtainPairSerializer 和 TokenObtainPairView，让我们更容易地实现 JWT 认证。

TokenObtainPairSerializer

TokenObtainPairSerializer 是用于处理 JWT 获取的序列化器。它负责验证用户提供的凭据（通常是用户名和密码），并在凭据有效时生成一对 JWT：一个访问令牌和一个刷新令牌。

访问令牌（Access Token）是一个短期的 JWT，用于身份验证和授权。当用户想要访问受保护的资源时，他们需要在请求的 Authorization 头中提供这个令牌。

刷新令牌（Refresh Token）是一个长期的 JWT，用于在访问令牌过期后获取新的访问令牌。这使得用户可以在不需要重新输入他们的凭据的情况下继续他们的会话。

TokenObtainPairSerializer 的validate方法是其核心功能，负责处理用户提供的凭证（如用户名和密码），并在这些凭证有效时返回一对JWT。

这个validate方法的工作流程大致如下：

1.它接收一个字典作为参数，这个字典通常是来自客户端请求的数据，包含了用户的用户名和密码。

2.validate 方法会使用这些数据来尝试验证用户的身份。具体来说，它会检查数据库是否存在一个与提供的用户名匹配的用户，并且该用户的密码是否与提供的密码相符。

3.如果用户的凭据是有效的，validate 方法将生成一对JWT：一个访问令牌和一个刷新令牌，并将它们作为字典的形式返回。

4.如果用户的凭据无效，validate 方法将抛出一个异常，该异常将被DRF捕获并转化为一个HTTP 400错误响应，告知客户端提供的凭据是无效的。

因此，TokenObtainPairSerializer 的 validate 方法是JWT身份验证流程的关键部分。如果你正在使用 rest_framework_simplejwt 来处理JWT，理解这个方法的工作原理是非常重要的。

TokenObtainPairView

TokenObtainPairView 是用于处理 JWT 获取的视图。它使用 TokenObtainPairSerializer 来验证用户的凭据并生成 JWT。

当用户发送一个包含他们的凭据的 POST 请求到这个视图时，它会创建一个新的 TokenObtainPairSerializer 实例，使用请求的数据初始化它，然后调用它的 is_valid 方法进行验证。

如果凭据是有效的，视图将返回一个包含 JWT 的响应。否则，它将返回一个包含错误信息的响应。

自定义 TokenObtainPairSerializer 和 TokenObtainPairView

在某些情况下，您可能希望自定义 TokenObtainPairSerializer 和 TokenObtainPairView 的行为。例如，您可能希望在 JWT 响应中包含额外的用户信息。

要自定义 TokenObtainPairSerializer，您可以创建一个新的序列化器类，继承 TokenObtainPairSerializer，然后重写 validate 方法。

类似地，要自定义 TokenObtainPairView，您可以创建一个新的视图类，继承 TokenObtainPairView，然后设置serializer_class 属性为您自定义的序列化器类。

例如，下面的代码展示了如何自定义 TokenObtainPairSerializer 和 TokenObtainPairView 以在 JWT 响应中包含用户名：

from rest_framework_simplejwt.serializers import TokenObtainPairSerializer
from rest_framework_simplejwt.views import TokenObtainPairView

class CustomTokenObtainPairSerializer(TokenObtainPairSerializer):
    def validate(self, attrs):
        data = super().validate(attrs)

        # 添加额外的返回信息
        data['username'] = self.user.username
        return data

class CustomTokenObtainPairView(TokenObtainPairView):
    serializer_class = CustomTokenObtainPairSerializer

在上述代码中，我们首先创建了一个新的序列化器 CustomTokenObtainPairSerializer，它继承自 TokenObtainPairSerializer，并重写了 validate 方法。在重写的 validate 方法中，我们首先调用了父类的 validate 方法来执行标准的验证和令牌生成，然后我们添加了一个额外的响应字段 username。

接下来，我们创建了一个新的视图 CustomTokenObtainPairView，它继承自 TokenObtainPairView，并将其 serializer_class 设置为我们自定义的序列化器 CustomTokenObtainPairSerializer。

在上面的例子中，我们只是在 JWT 的响应中添加了用户名。但是，我们还可以进一步自定义这个过程。例如，我们可以重写 TokenObtainPairView的post方法，以改变它处理 POST 请求的方式。下面的代码展示了如何做到这一点：

from rest_framework_simplejwt.serializers import TokenObtainPairSerializer
from rest_framework_simplejwt.views import TokenObtainPairView
from rest_framework.response import Response
from rest_framework import status

class CustomTokenObtainPairSerializer(TokenObtainPairSerializer):
    def validate(self, attrs):
        data = super().validate(attrs)
        data['username'] = self.user.username
        return data

class CustomTokenObtainPairView(TokenObtainPairView):
    serializer_class = CustomTokenObtainPairSerializer

    def post(self, request, *args, **kwargs):
            serializer = self.get_serializer(data=request.data)
            serializer.is_valid(raise_exception=True)

            response_data = {
                'message': f'{serializer.validated_data["username"]},这是顽童你知道的 !',
                'tokens': {
                    'refresh': serializer.validated_data['refresh'],
                    'access': serializer.validated_data['access'],
                }
            }

            return Response(response_data, status=status.HTTP_200_OK)

在这个例子中，我们重写了 post 方法，以便在返回的响应中包含一个欢迎消息。我们使用 serializer.validated_data 获取用户名和 JWT，并将这些信息添加到我们的自定义响应中。这样，每当用户成功登录时，他们将收到一个包含欢迎消息和他们的 JWT 的响应。

总结

TokenObtainPairSerializer 和 TokenObtainPairView 是 Django Rest Framework 中处理 JWT 认证的重要工具。理解它们的工作方式并知道如何自定义它们，可以帮助我们更好地构建和定制我们的 API。

希望这篇文章能帮助你理解这两个类，并能在你的项目中有效地使用它们。如果你有任何问题或者需要进一步的解释，欢迎在评论区提问。