Django+JWT实现Token认证的实现方法

Django+JWT实现实现Token认证的实现方法认证的实现方法

主要介绍了Django+JWT实现Token认证的实现方法，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧

对外提供API不用django rest framework（DRF）就是旁门左道吗？

基于Token的鉴权机制越来越多的用在了项目中，尤其是对于纯后端只对外提供API没有web页面的项目，例如我们通常所讲的前后端分离架构中的纯后端服务，只提供API给前端，前端通过

API提供的数据对页面进行渲染展示或增加修改等，我们知道HTTP是一种无状态的协议，也就是说后端服务并不知道是谁发来的请求，那么如何校验请求的合法性呢？这就需要通过一些方

式对请求进行鉴权了

先来看看传统的登录鉴权跟基于Token的鉴权有什么区别

以Django的账号密码登录为例来说明传统的验证鉴权方式是怎么工作的，当我们登录页面输入账号密码提交表单后，会发送请求给服务器，服务器对发送过来的账号密码进行验证鉴权，验

供API访问的鉴权标准，得到广泛使用

JSON Web Token（JWT)是目前Token鉴权机制下最流行的方案，网上关于JWT的介绍有很多，这里不细说，只讲下Django如何利用JWT实现对API的认证鉴权，搜了几乎所有的文章都是说

JWT如何结合DRF使用的，如果你的项目没有用到DRF框架，也不想仅仅为了鉴权API就引入庞大复杂的DRF框架，那么可以接着往下看

我的需求如下：

1. 同一个view函数既给前端页面提供数据，又对外提供API服务，要同时满足基于账号密码的验证和JWT验证

2. 项目用了Django默认的权限系统，既能对账号密码登录的进行权限校验，又能对基于JWT的请求进行权限校验

PyJWT介绍介绍

要实现上边的需求1，我们首先得引入JWT模块，python下有现成的PyJWT模块可以直接用，先看下JWT的简单用法

安装安装PyJWT

$ pip install pyjwt

第三部分指定了Signature签名的算法

查看生成的查看生成的Token

>>> print(encoded_jwt)

b'eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VybmFtZSI6Ilx1OGZkMFx1N2VmNFx1NTQ5Nlx1NTU2MVx1NTQyNyIsInNpdGUiOiJodHRwczovL29wcy1jb2ZmZWUuY24ifQ.fIpSXy476r9F9i7GhdYFNkd-2Ndz8uKLgJPcd84BkJ4'

JWT生成的Token是一个用两个点（.）分割的长字符串

点分割成的三部分分别是Header头部，Payload负载，Signature签名： Header.Payload.Signature

JWT是不加密的，任何人都可以读的到其中的信息，其中第一部分Header和第二部分Payload只是对原始输入的信息转成了base64编码，第三部分Signature是用header+payload+secret_key

进行加密的结果

可以直接用base64对Header和Payload进行解码得到相应的信息

>>> import base64

>>> jwt.decode(encoded_jwt,'secret_key',algorithms=['HS256'])

{'username': '运维咖啡吧', 'site': 'https://ops-coffee.cn'}

服务端在有秘钥的情况下可以直接对JWT生成的Token进行解密，解密成功说明Token正确，且数据没有被篡改

当然我们前文说了JWT并没有对数据进行加密，如果没有secret_key也可以直接获取到Payload里边的数据，只是缺少了签名算法无法验证数据是否准确，pyjwt也提供了直接获取Payload数

据的方法，如下

>>> jwt.decode(encoded_jwt, verify=False)

{'username': '运维咖啡吧', 'site': 'https://ops-coffee.cn'}

Django案例案例

Django要兼容session认证的方式，还需要同时支持JWT，并且两种验证需要共用同一套权限系统，该如何处理呢？我们可以参考Django的解决方案：装饰器，例如用来检查用户是否登录的

login_required 和用来检查用户是否有权限的 permission_required 两个装饰器，我们可以自己实现一个装饰器，检查用户的认证模式，同时认证完成后验证用户是否有权限操作

def auth_permission_required(perm):

def decorator(view_func):

def _wrapped_view(request, *args, **kwargs):

# 格式化权限

perms = (perm,) if isinstance(perm, str) else perm

if request.user.is_authenticated:

# 正常登录用户判断是否有权限

if not request.user.has_perms(perms):

raise PermissionDenied