基于 Django 令牌的身份验证

Question

我正在编写一个单页应用程序 (SPA)，并希望使用 Django 作为后端。我阅读了this post 和this，我确信我需要使用基于令牌的身份验证而不是基于会话的身份验证。

这就是我想要完成的：

1. 用户输入用户名和密码，我的应用通过 ajax 将这些发送到 Django 进行验证
2. 假设用户名和密码有效，Django 将访问令牌返回给 SPA
3. SPA 可以开始使用此令牌来请求 REST API

我找到了 Django OAuth 工具包，this page 似乎展示了如何完成我刚才提到的内容。

由于我是 OAuth2 和基于令牌的身份验证的新手，我不确定我的断言是否正确。 （关于注册你的应用程序我不太明白）

我希望有更多经验的人可以帮助我。谢谢！

附：如果我不需要令牌轮换，我想我可以使用 TokenAuthentication provided by DRF 对吗？

Answer 1

附：如果我不需要令牌轮换，我想我可以使用 DRF 提供的 >TokenAuthentication 对吗？

是的，您应该能够将 TokenAuthentication 与 DRF 一起使用（只要一切都通过 HTTPS 提供）。我还建议查看Django rest auth 以加快用户流程。

Answer 2

您提到的三个步骤，可以通过DRFTokenAuthentication轻松实现。为了使用它，您必须按照此处所述设置基本身份验证：https://www.django-rest-framework.org/api-guide/authentication/#tokenauthentication

对于 OAuth Toolkit here，必须注册一个应用程序以将所有进一步请求的令牌与相关联。可以将用户分配给与该应用程序关联的访问请求。令牌有过期时间线，一旦过期，必须使用刷新令牌或再次发送用户名、密码来生成新令牌。