六十一、jwt认证

已于 2022-10-12 22:39:49 修改
阅读量692 收藏
点赞数
文章标签： django python 后端
于 2022-10-12 22:29:17 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_68531269/article/details/127282254
版权

jwt认证

一 cookie，session和token介绍

https://www.cnblogs.com/liuqingzheng/p/8990027.html
cookie：是存储在客户端的键值对。
session：是存储在服务端的键值对。
token：是三段式，由服务端生成，返回给给客户端（浏览器存储在cookie中，移动端存储在硬盘中），服务端不存储。

django中的session认证机制
在这里插入图片描述

二 jwt原理介绍

JWT就是一段字符串，由三段信息构成的，将这三段信息文本用.链接一起就构成了Jwt字符串。就像这样:

"eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.
eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6Inh1eGlhb3h1IiwiZXhwIjoxNjY1NTYxNjk0LCJlbWFpbCI6IjNAcXEuY29tIn0.
BtO6Ls2vSdrsJHkjZzkzmJ71Ue6zEIBkHV_iEmoZfEI"

第一部分是头部（header），第二部分是荷载（payload），第三部分是签名（signature）。

2.1 header

{
	"typ":"JWT",
	"alg":"HS256"
}

头部包含两部分信息，typ是类型，alg是加密算法。
然后将头部进行base64编码（该编码是可以对称解码的),构成了第一部分.

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

2.2 payload

{
      "exp": "1234567890",
      "name": "John Doe",
      "userid": 3
}

iss: jwt签发者
sub: jwt所面向的用户
aud: 接收jwt的一方
exp: jwt的过期时间，这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前，该jwt都是不可用的.
iat: jwt的签发时间
jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避时序攻击。

对其进行编码得到

eyJ1c2VyX2lkIjoyLCJ1c2VybmFtZSI6Imphc3BlciIsImV4cCI6MTY2NTU2Mjc0MywiZW1haWwiOiIyQHFxLmNvbSJ9

2.3 signature

把编码后的header和编码后的payload使用.连接起来，加密后得到的结果。

BtO6Ls2vSdrsJHkjZzkzmJ71Ue6zEIBkHV_iEmoZfEI

django中token机制
在这里插入图片描述

三 base64编码与解码

在jwt、网络中传输字符串、网络中传输图片都可以使用base64编码，base64可以反解。

import base64
import json


header = json.dumps({
    'typ': 'JWT',
    'alg': 'HS256'
})

# 编码
res = base64.b64encode(header.encode(encoding='utf8'))
print(res)  # b'eyJ0eXAiOiAiSldUIiwgImFsZyI6ICJIUzI1NiJ9'

# 解码
res1 = base64.b64decode(res)
print(res1)  # b'{"typ": "JWT", "alg": "HS256"}'
print(res1.decode(encoding='utf8'))  # {"typ": "JWT", "alg": "HS256"}

四 rest_framework_jwt快速使用

  1. 安装
    pip3 install djangorestframework-jwt
  2. 基于auth_user表签发token，将数据库迁移。
  3. 创建用户。
  4. 登录接口已经写好了，只用带上参数发送post请求就可以签发了。
  5. 配置路由
    from rest_framework_jwt.views import obtain_jwt_token

urlpatterns = [
path('admin/', admin.site.urls),
path('login/', obtain_jwt_token),
]
  6. 访问http://127.0.0.1:8000/login/
    在这里插入图片描述
  7. 认证：在视图类中配置认证类和权限类
    from rest_framework.views import APIView
from rest_framework_jwt.authentication import JSONWebTokenAuthentication
from rest_framework.permissions import IsAuthenticated
from rest_framework.response import Response


class UserView(APIView):
    authentication_classes = [JSONWebTokenAuthentication]
    permission_classes = [IsAuthenticated]

    def get(self, request):
        return Response('ok')
    在这里插入图片描述
    请求头中必须携带Authorization:jwt token串

五 jwt自定义返回数据格式

自定义一个函数
utils.py

def jwt_response_payload_handler(token, user=None, request=None):
    return {
        'code': 100,
        'msg': '登陆成功',
        'user': user.username,
        'token': token
    }

配置配置文件
settings.py

JWT_AUTH = {
    'JWT_RESPONSE_PAYLOAD_HANDLER':
        'app01.utils.jwt_response_payload_handler',
}

在这里插入图片描述

六 自定义user表，签发token

from rest_framework.views import APIView
from rest_framework.response import Response
from .models import User
from rest_framework.exceptions import ValidationError

from rest_framework_jwt.settings import api_settings

jwt_payload_handler = api_settings.JWT_PAYLOAD_HANDLER
jwt_encode_handler = api_settings.JWT_ENCODE_HANDLER


class UserView(APIView):

    def post(self, request):
        try:
            username = request.data.get('username')
            password = request.data.get('password')
            user = User.objects.get(username=username, password=password)
            if user:
                payload = jwt_payload_handler(user)
                token = jwt_encode_handler(payload)
                print(payload, token)
                return Response({
                    'code': 100,
                    'msg': '登录成功',
                    'user': payload.get('username'),
                    'token': token}
                )
        except Exception as e:
            raise ValidationError(e)

七 自定义认证类，验证token

utils.py

class MyJSONWebTokenAuthentication(JSONWebTokenAuthentication):
    def authenticate(self, request):
        jwt_value = self.get_jwt_value(request)
        if jwt_value is None:
            return None

        try:
            payload = jwt_decode_handler(jwt_value)
        except jwt.ExpiredSignature:
            msg = _('Signature has expired.')
            raise exceptions.AuthenticationFailed(msg)
        except jwt.DecodeError:
            msg = _('Error decoding signature.')
            raise exceptions.AuthenticationFailed(msg)
        except jwt.InvalidTokenError:
            raise exceptions.AuthenticationFailed()

        user = self.authenticate_credentials(payload)

        return (user, jwt_value)

views.py

from rest_framework.views import APIView
from rest_framework.permissions import IsAuthenticated
from rest_framework.response import Response
from .models import User
from rest_framework.exceptions import ValidationError
from .utils import MyJSONWebTokenAuthentication

from rest_framework_jwt.settings import api_settings

jwt_payload_handler = api_settings.JWT_PAYLOAD_HANDLER
jwt_encode_handler = api_settings.JWT_ENCODE_HANDLER


class UserView(APIView):

    def post(self, request):
        try:
            username = request.data.get('username')
            password = request.data.get('password')
            user = User.objects.get(username=username, password=password)
            if user:
                payload = jwt_payload_handler(user)
                token = jwt_encode_handler(payload)
                print(payload, token)
                return Response({
                    'code': 100,
                    'msg': '登录成功',
                    'user': payload.get('username'),
                    'token': token}
                )
        except Exception as e:
            raise ValidationError(e)


class User2View(APIView):
    authentication_classes = [MyJSONWebTokenAuthentication]
    permission_classes = [IsAuthenticated]

    def get(self, request):
        return Response('ok')

urls.py

urlpatterns = [
    path('admin/', admin.site.urls),
    path('login/', views.UserView.as_view()),
    path('user/', views.User2View.as_view()),
]

八 自定义签发token，校验token

views.py

from rest_framework.exceptions import APIException
from rest_framework.response import Response
from rest_framework.views import APIView
from drf_day10 import settings
from .utils import MyJSONWebTokenAuthentication
from .models import User

import time
import json
import base64
import hashlib


class UserView(APIView):
    def post(self, request):
        try:
            username = request.data.get('username')
            password = request.data.get('password')
            user = User.objects.get(username=username, password=password)
        except Exception as e:
            raise APIException(e)
        user_id = user.id
        username = user.username
        exp = int(time.time() + 300)
        header = base64.b64encode(json.dumps({"typ": "JWT", "alg": "md5"}).encode(encoding='utf8'))
        payload = base64.b64encode(
            json.dumps({'user_id': user_id, 'username': username, 'exp': exp}).encode(encoding='utf8'))
        signature = header + b'.' + payload
        md5 = hashlib.md5()
        md5.update(signature)
        # SECRET是在配置文件中配置的密钥（盐）
        md5.update(settings.SECRET.encode(encoding='utf8'))
        token = (header + b'.' + payload).decode(encoding='utf8') + '.' + md5.hexdigest()
        return Response({
            'code': 100,
            'msg': '登录成功',
            'user': json.loads(base64.b64decode(payload)).get('username'),
            'token': token}
        )


class User2View(APIView):
    authentication_classes = [MyJSONWebTokenAuthentication]

    def get(self, request):
        return Response('ok')

utils.py

from rest_framework.exceptions import AuthenticationFailed
from rest_framework.authentication import BaseAuthentication
from drf_day10 import settings
from .models import User

import base64
import json
import time
import hashlib


class MyJSONWebTokenAuthentication(BaseAuthentication):
    def authenticate(self, request):
        try:
            jwt_value = request.META.get('HTTP_AUTHORIZATION', b'')
            left, right = jwt_value.split(' ')
            header, payload, signature = right.split('.')
            header = json.loads(base64.b64decode(header.encode(encoding='utf8')))
            payload = json.loads(base64.b64decode(payload.encode(encoding='utf8')))
            exe = payload.get('exp')
        except:
            raise AuthenticationFailed('错误解码签名')
        if exe < int(time.time()):
            raise AuthenticationFailed('令牌已过期')
        re_signature = base64.b64encode(json.dumps(header).encode(encoding='utf8')) + b'.' + base64.b64encode(
            json.dumps(payload).encode(encoding='utf8'))
        md5 = hashlib.md5()
        md5.update(re_signature)
        md5.update(settings.SECRET.encode(encoding='utf8'))
        re_signature = md5.hexdigest()
        if signature != re_signature:
            raise AuthenticationFailed('令牌校验失败')
        user = User.objects.filter(id=payload.get('user_id')).first()
        return user, None

urls.py

urlpatterns = [
    path('login/', views.UserView.as_view()),
    path('user/', views.User2View.as_view()),
]

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

补充知识

请求头中：X_FORWARDED_FOR 是什么？

1 没有使用代理服务器的情况：

REMOTE_ADDR = 您的 IP
HTTP_VIA = 没数值或不显示
HTTP_X_FORWARDED_FOR = 没数值或不显示

2 使用透明代理服务器的情况：Transparent Proxies

REMOTE_ADDR = 最后一个代理服务器 IP
HTTP_VIA = 代理服务器 IP
HTTP_X_FORWARDED_FOR = 您的真实 IP ，经过多个代理服务器时，这个值类似如下：203.98.182.163, 203.98.182.163, 203.129.72.215。

这类代理服务器还是将您的信息转发给您的访问对象，无法达到隐藏真实身份的目的。

3 使用普通匿名代理服务器的情况：Anonymous Proxies

REMOTE_ADDR = 最后一个代理服务器 IP
HTTP_VIA = 代理服务器 IP
HTTP_X_FORWARDED_FOR = 代理服务器 IP ，经过多个代理服务器时，这个值类似如下：203.98.182.163, 203.98.182.163, 203.129.72.215。

隐藏了您的真实IP，但是向访问对象透露了您是使用代理服务器访问他们的。

4 使用欺骗性代理服务器的情况：Distorting Proxies

REMOTE_ADDR = 代理服务器 IP
HTTP_VIA = 代理服务器 IP
HTTP_X_FORWARDED_FOR = 随机的 IP ，经过多个代理服务器时，这个值类似如下：203.98.182.163, 203.98.182.163, 203.129.72.215。

告诉了访问对象您使用了代理服务器，但编造了一个虚假的随机IP代替您的真实IP欺骗它。

5 使用高匿名代理服务器的情况：High Anonymity Proxies (Elite proxies)

REMOTE_ADDR = 代理服务器 IP
HTTP_VIA = 没数值或不显示
HTTP_X_FORWARDED_FOR = 没数值或不显示 ，经过多个代理服务器时，这个值类似如下：203.98.182.163, 203.98.182.163, 203.129.72.215。

完全用代理服务器的信息替代了您的所有信息，就象您就是完全使用那台代理服务器直接访问对象。

6 集群和分布式

xuxiaoxu1
关注
JWT认证
Yietong的博客
10-12 1799
上面我们都是基于auth_user表去做签发认证的，但是我们日常基本程序都是自定义的表来做认证，所以我们来试试自定义user表models.pyviews.py# # 登录后才能访问，加一个认证类，# # 使用jwt提供的认证类必须要配合权限类使用## 自定义的用户签发tokentry:# 根据user签发token【三部分，头，荷载，签名】# 使用jwt模块签发token的函数，生成token。
JWT
yhwu123的博客
07-15 1141
jwt=Json Web token #原理 “”" 1）jwt分三段式：头.体.签名 （head.payload.sgin） 2）头和体是可逆加密，让服务器可以反解出user对象；签名是不可逆加密，保证整个token的安全性的 3）头体签名三部分，都是采用json格式的字符串，进行加密，可逆加密一般采用base64算法，不可逆加密一般采用hash(md5)算法 4）头中的内容是基本信息：公司信息、项目组信息、token采用的加密方式信息 { “company”: “公司信息”, … } 5）体中的内容是关
JWT详解
qq_52030824的博客
03-17 5105
JWT是一种基于数字签名的方式，以JSON格式为数据载体的开发标准。可以在不同的服务终端之安全的传输信息
Django Rest Framwork JWT
HashFlag的博客
09-17 464
在用户注册或登录后，我们想记录用户的登录状态，或者为用户创建身份认证的凭证。我们不再使用Session认证机制，而使用Json Web Token认证机制。 很多公司开发的一些移动端可能不支持cookie，并且我们通过cookie和session做接口登录认证的话，效率其实并不是很高，我们的接口可能提供给多个客户端，session数据保存在服务端，那么就需要每次都调用session数据进行验证，比较耗时，所以引入了token认证的概念，我们也可以通过token来完成，我们来看看jwt是怎么玩的。 Json
Zhong__JWT简介及方案
Zhong的博客
10-08 231
时间： 环境： 目的： 说明： 作者：Zhong QQ交流群：121160124 欢迎加入！
解析SpringSecurity+JWT认证流程实现
08-18
作为一名IT行业大师，我将对SpringSecurity+JWT认证流程实现进行详细的解释，并生成相关知识点。 一、SpringSecurity的工作流程 SpringSecurity的工作流程是基于标准servlet过滤器的，它的设计思想是通过一层层的...
详解Django配置JWT认证方式
09-16
接下来，我们需要在`settings.py`中配置Django REST framework以支持JWT认证。在`REST_FRAMEWORK`配置项中，将`JWTAuthentication`添加到`DEFAULT_AUTHENTICATION_CLASSES`列表中： ```python REST_FRAMEWORK = { ...
Asp.net Core 3.1 JWT 认证Demo
12-27
Asp.NET Core 3.1 JWT（JSON Web Token...总之，Asp.NET Core 3.1的JWT认证Demo是一个实用的起点，它展示了如何在现代Web应用中安全地处理用户身份验证。通过理解和扩展这个Demo，你可以创建更强大、更安全的认证系统。
java开发jwt认证 令牌，jwt.jar包 jwt 实现token认证，支持jdk1.7版本 java令牌
最新发布
06-30
jwt.jar包 jwt所需jar包集合 使用commons-codec.jar + java-jwt.jar进行token认证，支持jdk1.7及以上版本，目前大多数jwt支持至少需要1.8及以上，资源不好找，且行且珍惜。 如果需要源码以及功能实现方式，请联系...
django实现jwt身份认证
a961634066的博客
08-12 2857
文章中使用版本信息：python3.8，django2.2闲暇之余研究了下jwt，没想到过程中遇到各种各样问题，记录一下，希望以后用到或对大家有帮助，个人理解，可能看到冰山一角，只是能用起来，可互相探讨。下面来说两种实现1. pyjwt。............
DRF之JWT认证
weixin_47035302的博客
05-29 882
jwt原理，使用jwt认证和使用session认证的区别，三段式，jwt开发流程，drf—jwt快速使用，drf—定制返回格式，def自定义用户表签发，drf-jwt自定义认证类，drf-jwt的签发源码分析，认证源码分析。
Python JWT原理机制
Lamb的博客
08-23 242
【代码】Python JWT原理机制。
JWT使用
小明同学的博客
07-08 270
1.1 安装jwt模块并创建用户APP # 安装： pip install djangorestframework-jwt # 添加应用：python manage.py users 1.2 配置settings.py ########### 1、在INSTALLED_APPS中加入'rest_framework.authtoken', ################# INSTALLED_A...
JSON WEB TOKEN
weixin_34273481的博客
03-19 747
什么是JWT Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token...
OAuth2.0实战(三)-使用JWT
JavaEdge全是干货的技术号
10-19 2869
授权服务的核心就是颁发访问令牌，而OAuth 2.0规范并没有约束访问令牌内容的生成规则，只要符合唯一性、不连续性、不可猜性。可以灵活选择令牌的形式，既可以是没有内部结构且不包含任何信息含义的随机字符串，也可以是具有内部结构且包含有信息含义的字符串。 之前生成令牌的方式都是默认一个随机字符串。而在结构化令牌这方面，目前用得最多的就是JWT令牌。 什么是JWT？ JSON Web Token（JWT）是一个开放标准（RFC 7519），它定义了一种紧凑、自包含的方式，作为JSON对象在各方之间安全地传输信息，
Token 与 JWT认证
Waller_的博客
02-21 576
为什么用Token 先了解身份验证的演变: 随着交互式Web应用的兴起，像在线购物网站，需要登录的网站等等,遇到的一个问题就是身份验证会话管理,必须记住登录的用户,也就是必须吧每个用户区分开,因为HTTP请求是无状态的,所以解决办法就是给每个人发送一个回话标识(sessionid)随机字符串,每次大家向我发起HTTP请求的时候，把这个字符串给一并捎过来， 这样我就能区分开谁是谁了. 这样就产...
三段代码搞懂go-jwt做token登录校验的基本使用
weixin_45566022的博客
07-08 750
由于本来搭建的是基于gin+go-micro+etcd的微服务架构，生成token放在了用户服务，校验则放在了api网关，因此两边代码可能重复。 用户服务端 package handler import ( "context" "errors" "fmt" "github.com/dgrijalva/jwt-go" "math/rand" "micro-file-store/common" "micro-file-store/conf" "micro-file-store/database
Web中什么是token,token的组成部分详解（jwt Token）
latata的博客
04-26 9343
token是计算机术语：令牌，令牌是一种能够控制站点占有媒体的特殊帧，以区别数据帧及其他控制帧。token其实说的更通俗点可以叫暗号，在一些数据传输之前，要先进行暗号的核对，不同的暗号被授权不同的数据操作。 使用基于 Token 的身份验证方法，在服务端不需要存储用户的登录记录。大概的流程是这样的： 1.客户端使用用户名跟密码请求登录 2.服务端收到请求，去验证用户名与密码 3.验证成功后，服务端...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值