14.Django-JWT

一、基于JWT的Token登录认证 1. JWT简介

json Web Token(缩写JWT)是目前最流行的跨域认证解决方案

session登录的认证方案是看,用户从客户端传递用户名和密码登录信息,服务端认证后将信息储存在session中,将session_id放入cookie中,以后访问其他页面,服务器都会带着cookie,服务端会自动从cookie中获取session_id,在从session中获取认证信息。

JWT的解决方案是,将认证信息返回个客户端,储存在客户端,下次访问其他页面,需要从客户端传递认证信息回服务器端。

2. JWT原理

JWT原理就是,服务器认证后,生成一个json格式的对象 ,发送个客户端,

{ "用户名": "admin", "角色": "超级管理员", "到期时间": "2019-07-13 00:00:00" }

以后,客户端域服务器通信的时候,都要发回这个json对象,服务器完全靠这个对象认定用户身份,(但肯定不会像上面那样,那么简单的发送一个对象)这样的话,session中就没有数据了,后面更容易实现扩展

3. JWT的数据结构

JWT分为三个部分,header(头部) payload (负载) signature (签名)

一个完整的JWT数据是这样的

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiIsImp0aSI6IjNmMmc1N2E5MmFhIn0. eyJpYXQiOjE1NjI4MzM0MDgsImlzcyI6Imh0dHA6XC9cL3d3dy5weWcuY29tIiwiYXVkIjoiaHR0cDpcL1wvd3d3LnB5Zy5jb20iLCJuYmYiOjE1NjI4MzM0MDcsImV4cCI6MTU2MjkxOTgwOCwianRpIjoiM2YyZzU3YTkyYWEiLCJ1c2VyX2lkIjoxfQ. NFq1qQ-Z5c4pwit8ZkyWEwX6SBXmnHJcc6ZDgSD5nhU

中间是有三个点的,分别就是 头部 负载 和签名 (点在每一行的最后)

3.1 头部 是一个json对象 作用是描述JWT元数据,一般是这样的 { "alg": "HS256", //表示签名的算法默认是 HMAC SHA256(写成 HS256) "typ": "JWT" //表示这个令牌(token)的类型(type),JWT 令牌统一写为JWT }

最后,将上面的 JSON 对象使用 Base64URL 算法(详见后文)转成字符串。

3.2 负载 也是一个 JSON 对象 ,用来存放实际需要传递的数据。JWT 规定了7个官方字段,供选用

14.Django-JWT

除了官方字段,你还可以在这个部分定义私有字段

这个 JSON 对象也要使用 Base64URL 算法转成字符串(防止除了用户的人看见嘛)。

注意:JWT 默认是不加密的,任何人都可以读到,所以不要把秘密信息放在这个部分。(虽然加密了,防止解密的坏人解密后修改在加密)

3.3 签名 是对前两部分的签名(可以理解成在加密一份),防止数据篡改。

首先,需要指定一个密钥(自己设置),这个密钥只有服务器才知道,不能泄露给用户。

使用 Header 里面指定的签名算法(默认是 HMAC SHA256)产生签名

如:HMACSHA256(base64UrlEncode(header) + "." +base64UrlEncode(payload),secret) //使用Header 里面指定的签名算法 将头部和负载部用逗号拼接起来,在加上自己设置的秘钥

那么签名就出来的。

签名出来后,现在有了 头部的字符串,和负载的字符串 ,还有签名的,在将这三个字符串用 . 拼接出来,就可以将这个拼接好的字符串,返回给客户端的

JWT数据就返回得了客户端,需要注意的是,头部和负载部,是用base64URL转成字符串的,签名是用头部指定的算法转成字符串的 不用弄混掉

4. JWT 的使用方式

客户端,接受到了服务器返回的jwt,可以储存到cookie中,也可以储存在 localStorage。

此后,客户端每次与服务器通信,都要带上这个 JWT。你可以把它放在 Cookie 里面自动发送,但是这样不能跨域,所以更好的做法是放在 HTTP 请求的头信息Authorization字段里面。

一旦我们使用的JWT,JWT的类别人封装好的,会自动将生成的token放入响应头中去,然后再次去访问页面的时候会带着响应回来token去访问页面

JWT在请求头中发送,如:会多了个请求头

Authorization: Bearer <token>

然后,在服务器中,需要验证这个token,是否有效

二、Django---使用jwt中的token鉴权机制完成状态保持的步骤 1. 安装包 djangorestframework-jwt

pip install djangorestframework-jwt

2. 配置drf, jwt过期时间 REST_FRAMEWORK = { '''''' # 身份认证的方式:JWT session 'DEFAULT_AUTHENTICATION_CLASSES': ( # 前后端分离使用jwt验证 'rest_framework_jwt.authentication.JSONWebTokenAuthentication', # 访问admin后台使用session 'rest_framework.authentication.SessionAuthentication', ), } # 过期时间为10小时 JWT_AUTH = { # timedelta 时间差 'JWT_EXPIRATION_DELTA': datetime.timedelta(hours=10), } 3. 在创建use对象的时候手动生成token # 需要生成token from rest_framework_jwt.settings import api_settings jwt_payload_handler = api_settings.JWT_PAYLOAD_HANDLER jwt_encode_handler = api_settings.JWT_ENCODE_HANDLER payload = jwt_payload_handler(user) token = jwt_encode_handler(payload) # header.payload.signature 4. 在序列化中定义只输出的token属性 token = serializers.CharField(read_only=True) 5. 为user添加token属性才能输出到客户端 user.token = token

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:https://www.heiqu.com/wpjzfx.html