【技术博客】JWT的认证机制Django项目中应用

灰太狼 2021-12-22 01:41 240阅读 0赞

> 开发组在开发过程中，都不可避免地遇到了一些困难或问题，但都最终想出办法克服了。我们认为这样的经验是有必要记录下来的，因此就有了【技术博客】。

# JWT的认证机制Django项目中应用 #

这篇技术博客基于软件工程课程的VisualPytorch之上。本文小部分参考了[https://jwt.io/introduction/][https_jwt.io_introduction]

## 前言-JWT是什么，为什么用JWT ##

在做绝大部分数据库系统时（网站、小程序），登录注册肯定是一个绕不开的功能。一般来说传统的解决方案是基于session机制的认证，也就是客户端发送用户名密码给服务器，服务器端验证后创建一个session，把session的id返回客户端，客户端每次请求时带着session的id以此作为验证。

从我的视角来看主要存在两个问题：

##### (1) 给服务器压力大 #####

session一般保存在内存中，当然比较大的应用保存在Redis这类数据库中，通过session\_id来做认证增加了访存次数，影响性能。

##### (2) 单点登录的问题 #####

如果你的应用需要支持通过微信号、QQ号登录，session\_id的方式显然很成问题，毕竟你不可能拿到腾讯的数据库里的内容。

这里就考虑了使用JWT机制来进行认证。JWT全称是JSON WEB TOKEN，如果使用JWT进行认证，服务器端不需要保存信息，因为JWT将信息加密到了token里。用户只需要每次请求的时候带着token即可，服务器会自己解密。

需要补充的一点是，JWT和session机制并不冲突，如果你的应用对于session有需求，可以使用JWT做认证，session做其他需求。

如果想比较详细地了解JWT，可以参考[RFC7519][]。

## Django中JWT解决方案 ##

有一个基于Django Restful接口的包可以用

pip install djangorestframework-jwt

详细使用方法参照[官方文档][Link 1]。

该中间件主要提供了三个接口

#获得token from rest_framework_jwt.views import obtain_jwt_token #刷新token from rest_framework_jwt.views import refresh_jwt_token #验证token from rest_framework_jwt.views import verify_jwt_token

登录时调用obtain\_jwt\_token即可。

而对于需要验证用户权限的接口，需要在settings.py中添加

'DEFAULT_AUTHENTICATION_CLASSES': [ 'rest_framework_jwt.authentication.JSONWebTokenAuthentication', 'rest_framework.authentication.SessionAuthentication', 'rest_framework.authentication.BasicAuthentication' ]

随后在接口层中增加需要的权限即可自动利用jwt来验证（不需要调用上文提到的verify\_jwt\_token）,例如

permission_classes = (permissions.IsAuthenticated,)

## 如何修改验证登录方式 ##

这个其实和JWT无关，和Django有关，但既然都是一个项目下的，不妨多写一下，以防有需求。

方法重写Django中User的的后端类中的authenticate方法，并且在settings.py中添加

AUTHENTICATION_BACKENDS = [ 'user.utils.UserAuthBackend', # 修改auth认证后端类，这里要写你自己新写的验证类 ]

我重写验证方法的代码如下，仅供参考

from django.contrib.auth.backends import ModelBackend from .models import User from django.db.models import Q class UserAuthBackend(ModelBackend): def authenticate(self, request, username=None, password=None, **kwargs): # 邮箱或用户名登录 try: user = User.objects.get(Q(username=username) | Q(email=username)) except User.DoesNotExist: return None else: if user.check_password(password) and self.user_can_authenticate(user): return user

## 关与token有效时间与刷新 ##

这个中间价的默认设置一个token有效时间为300s,token与其子孙token的过期时间为7天。

也就是说每隔300s都必须刷新当前的token，而隔7天的话刷新也无用必须重新获取。

需要更改设置可以参考官方文档。

转载于:https://www.cnblogs.com/1606-huluwa/p/10897827.html

[https_jwt.io_introduction]: https://jwt.io/introduction/
[RFC7519]: https://tools.ietf.org/html/rfc7519
[Link 1]: http://getblimp.github.io/django-rest-framework-jwt/