django应用JWT(JSON Web Token)实战教程

2024-11-5 01:57| 发布者: 8b79| 查看: 285| 评论: 0

摘要: 目次一、什么是JWT二、为什么利用JWT三、在django项目中怎样应用JWT1、安装djangorestframework-simplejwt库：2、在settings.py中配置JWT认证：3、在urls.py中配置JWT的获取和刷新路由：4、在视图中需要认证的地方利

在前后端分离的项目中，前后端举行身份验证通常用JWT来举行，JWT 提供了一个抱负的认证解决方案，用来保护 RESTful API，确保只有颠末认证的用户才气访问受保护的资源。基于前端框架（如React, Angular, Vue.js）的单页面应用 (SPA)，开发者通过利用 JWT可以获得一种简单、安全、高效的方式来处理用户认证和授权的问题。本文通过django项目的实战来阐明怎样应用和利用JWT。

一、什么是JWT

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在网络各方之间以安全且紧凑的形式传输信息。JWT 是一个小型的凭据，通常用于身份验证和授权场景。JWT 由三部门组成：头部 (Header)、负载 (Payload) 和署名 (Signature)。
JWT信息由3段构成，它们之间用圆点“.”毗连，格式如下：

[code]aaaaaa.bbbbbb.cccccc[/code]

一个典型的JWT如下所示：

[code]eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ0b2tlbl90eXBlIjoiYWNjZXNzIiwiZXhwIjoxNzI2OTcyMDc2LCJpYXQiOjE3MjY5NzAyNzYsImp0aSI6IjMyMTFiZjdmZDlhZTRmNTBhMDNmOGM2NjcwNDM2NjFiIiwidXNlcl9pZCI6Mn0.Ej6US4Uk-sSNm9P8kTU_cDAzBpO4I-BLhPstp5sG00Q[/code]

头部 (Header)：包含了关于 JWT 范例的信息以及所利用的署名算法。
负载 (Payload)：是 JWT 的主体部门，包含了实际需要声明的数据。这些数据通常包括用户ID、用户名、角色等信息。
署名 (Signature)：用于验证 JWT 的发送者就是它声称的发送者，同时也确保了 JWT 在传输过程中没有被篡改。

二、为什么利用JWT

利用 JWT 的缘故原由重要有以下几点：

安全性：JWT 通过署名来保证数据的完备性和防篡改性。如果有人试图修改 JWT 内容，署名会失效，接收方可以检测到这一行为。
无状态性：JWT 是自包含的，这意味着不需要在服务器上保存会话状态。每个 JWT 都包含了全部必要的信息，从而减少了对服务器端存储的需求。
跨域支持：JWT 可以轻松地在不同的域之间共享，这使得它非常得当微服务架构和分布式体系。
性能提升：由于 JWT 是自包含的，所以服务器可以快速地验证 JWT，而无需查询数据库来获取用户信息，这提高了应用的相应速度。
易于缓存和扩展：JWT 可以被缓存，并且因为它们是无状态的，所以可以很容易地扩展到多个服务器，而无需担心会话复制问题。CSRF 防护：利用 JWT 可以帮助缓解跨站请求伪造（CSRF）攻击的风险，因为 JWT 不依赖于 cookie，也就不会陪同 HTTP 请求自动发送。

总的来说，JWT 提供了一种高效、安全的方式来处理用户认证和授权，尤其是在需要跨域操作或构建无状态服务的环境下。

三、在django项目中怎样应用JWT

JWT（JSON Web Token）是一种用于在网络应用中安全地传输信息的令牌。它通常用于身份验证和授权，特殊是在单页应用（SPA）和API服务中。在Django中应用JWT，可以利用 djangorestframework-simplejwt。

1、安装djangorestframework-simplejwt库：

[code]pip install djangorestframework-simplejwt[/code]

2、在settings.py中配置JWT认证：

在INSTALLED_APPS中添加rest_framework_simplejwt的应用

[code]INSTALLED_APPS = [ 'blog', 'django.contrib.admin', 'django.contrib.auth', 'django.contrib.contenttypes', 'django.contrib.sessions', 'django.contrib.messages', 'django.contrib.staticfiles', 'rest_framework', 'rest_framework_simplejwt', # 添加 simplejwt 应用 'django_filters', # 注册条件查询 'mdeditor', # 注册markdown的应用 'drf_yasg2', # 接口文档 ][/code]

添加REST_FRAMEWORK的默认认证类为JWT认证

[code]REST_FRAMEWORK = { 'DEFAULT_AUTHENTICATION_CLASSES': [ 'rest_framework_simplejwt.authentication.JWTAuthentication', ], }[/code]

添加SIMPLE_JWT的干系配置

[code]# JWT 干系设置 SIMPLE_JWT = { 'ACCESS_TOKEN_LIFETIME': timedelta(minutes=30), # 访问令牌的有用时间 'REFRESH_TOKEN_LIFETIME': timedelta(days=1), # 刷新令牌的有用时间 'ROTATE_REFRESH_TOKENS': False, # 是否允许刷新令牌循环 'BLACKLIST_AFTER_ROTATION': True, # 刷新令牌后是否加入黑名单 'UPDATE_LAST_LOGIN': False, # 登录时是否更新末了登录时间 'ALGORITHM': 'HS256', # 署名算法 'SIGNING_KEY': SECRET_KEY, # 署名密钥 'VERIFYING_KEY': None, # 验证密钥 'AUDIENCE': None, # 观众 'ISSUER': None, # 发行人 'JWK_URL': None, # JWK URL 'LEEWAY': 0, # 宽限期 'AUTH_HEADER_TYPES': ('Bearer',), # 授权头范例 'AUTH_HEADER_NAME': 'HTTP_AUTHORIZATION', # 授权头名称 'USER_ID_FIELD': 'id', # 用户 ID 字段 'USER_ID_CLAIM': 'user_id', # 用户 ID 声明 'USER_AUTHENTICATION_RULE': 'rest_framework_simplejwt.authentication.default_user_authentication_rule', 'AUTH_TOKEN_CLASSES': ('rest_framework_simplejwt.tokens.AccessToken',), # 认证令牌类 'TOKEN_TYPE_CLAIM': 'token_type', # 令牌范例声明 'TOKEN_USER_CLASS': 'rest_framework_simplejwt.models.TokenUser', 'SLIDING_TOKEN_REFRESH_EXP_CLAIM': 'refresh_exp', # 滑动令牌刷新逾期声明 'SLIDING_TOKEN_LIFETIME': timedelta(minutes=5), # 滑动令牌有用时间 'SLIDING_TOKEN_REFRESH_LIFETIME': timedelta(days=1), # 滑动令牌刷新有用时间 }[/code]

3、在urls.py中配置JWT的获取和刷新路由：

[code]from django.urls import path from rest_framework_simplejwt.views import (TokenObtainPairView, TokenRefreshView) urlpatterns = [ path('token/', TokenObtainPairView.as_view(), name='token_obtain_pair'), path('token/refresh/', TokenRefreshView.as_view(), name='token_refresh'), # 其他路由... ][/code]

4、在视图中需要认证的地方利用JWT认证

如下modelviweset中利用，对于查询方法如list，retrieve不做鉴权，对于其他方法需要鉴权。

[code]def get_permissions(self): """ Instantiates and returns the list of permissions that this view requires. """ if self.action in ['list', 'retrieve']: # 对于list方法，返回AllowAny权限类，表现不需要鉴权 permission_classes = [AllowAny, ] else: # 对于其他方法，返回IsAuthenticated权限类，表现需要用户已认证 permission_classes = [IsAuthenticated, ] return [permission() for permission in permission_classes][/code]