我已阅读 Django Rest 框架指南并完成所有教程。一切似乎都有意义，并且按应有的方式工作。我得到了基本和会话身份验证的工作。
django rest framework - api guide
但是，我在文档的令牌身份验证部分苦苦挣扎，它有点缺乏或没有像教程那样深入。
django-rest-framework - token authentication
它说我需要为用户创建令牌，但确实说明了 models.py 中的位置？
有人可以为初学者更好地解释一下文档中的令牌身份验证部分吗？
【问题讨论】：
标签： python django django-rest-framework
@ian-clelland 已经提供了正确答案。他的帖子中没有提到一些小片段，所以我将记录完整的过程（我使用的是 Django 1.8.5 和 DRF 3.2.4）：
在创建超级用户之前执行以下操作。否则，超级用户不会创建他/她的令牌。
转到 settings.py 并添加以下内容：
INSTALLED_APPS = (
'rest_framework',
'rest_framework.authtoken',
'myapp',
)
REST_FRAMEWORK = {
'DEFAULT_PERMISSION_CLASSES': (
'rest_framework.permissions.IsAuthenticated',
),
'DEFAULT_AUTHENTICATION_CLASSES': (
'rest_framework.authentication.TokenAuthentication',
)
}
在 myapp 的 models.py 中添加以下代码：
from django.db.models.signals import post_save
from django.dispatch import receiver
from rest_framework.authtoken.models import Token
from django.conf import settings
# This code is triggered whenever a new user has been created and saved to the database
@receiver(post_save, sender=settings.AUTH_USER_MODEL)
def create_auth_token(sender, instance=None, created=False, **kwargs):
if created:
Token.objects.create(user=instance)
或者，如果您想更加明确，请在 myapp 项目下创建一个名为 signals.py 的文件。把上面的代码放进去，然后在__init__.py中，写import signals
打开一个控制台窗口，导航到您的项目目录，然后输入以下命令：
python manage.py migrate
python manage.py makemigrations
查看您的数据库，应该创建一个名为 authtoken_token 的表，其中包含以下字段：key（这是令牌值）、created（创建日期时间）、user_id（a引用 auth_user 表的 id 列的外键）
使用python manage.py createsuperuser 创建一个超级用户。现在，使用select * from authtoken_token; 查看您数据库中的 authtoken_token 表，您应该会看到已添加一个新条目。
使用curl 或更简单的替代方法httpie 来测试对您的api 的访问，我使用的是httpie：
http GET 127.0.0.1:8000/whatever 'Authorization: Token your_token_value'
就是这样。从现在开始，对于任何 API 访问，您都需要在 HTTP 标头中包含以下值（注意空格）：
Authorization: Token your_token_value
（可选）如果您提供用户名和密码，DRF 还提供返回用户令牌的功能。您所要做的就是在 urls.py 中包含以下内容：
from rest_framework.authtoken import views
urlpatterns = [
...
url(r'^api-token-auth/', views.obtain_auth_token),
]
使用httpie验证：
http POST 127.0.0.1:8000/api-token-auth/ username='admin' password='whatever'
在返回正文中，您应该会看到：
{
"token": "blah_blah_blah"
}
就是这样！
【讨论】：
__init__.py 中添加 import signals 在 Django 1.9 中引发 django.core.exceptions.AppRegistryNotReady: Apps aren't loaded yet。
不，不在您的 models.py 中——在模型方面，您需要做的就是在您的 INSTALLED_APPS 中包含适当的应用程序 (rest_framework.authtoken)。这将提供一个外键给用户的 Token 模型。
您需要做的是决定何时以及如何创建这些令牌对象。在您的应用程序中，是否每个用户都会自动获得令牌？还是只有某些授权用户？还是只有在他们特别要求时？
如果每个用户都应该有一个令牌，那么在您链接到的页面上会有一段代码显示如何设置一个信号来自动创建它们：
@receiver(post_save, sender=User)
def create_auth_token(sender, instance=None, created=False, **kwargs):
if created:
Token.objects.create(user=instance)
（把this放在models.py文件的任何地方，Django线程启动时就会注册）
如果令牌应该只在特定时间创建，那么在您的视图代码中，您需要在适当的时间创建并保存令牌：
# View Pseudocode
from rest_framework.authtoken.models import Token
def token_request(request):
if user_requested_token() and token_request_is_warranted():
new_token = Token.objects.create(user=request.user)
创建（并保存）令牌后，它将可用于身份验证。
【讨论】：
post_save 是什么意思？
create_auth_token 设置为signal handler，这样每当User 被保存时（因此post_save），create_auth_token 就会被调用。信号是 django 的内部生命周期事件处理机制。
在 Django 1.8.2 和 rest framework 3.3.2 上，按照上述所有方法不足以启用基于令牌的身份验证。
虽然 REST_FRAMEWORK 设置在 django 设置文件中指定，但基于函数的视图需要 @api_view 装饰器：
from rest_framework.decorators import api_view
@api_view(['POST','GET'])
def my_view(request):
if request.user.is_authenticated():
...
否则根本不执行令牌认证
【讨论】：
只是为了增加我的两分钱，如果您有一个处理用户创建（和激活）的自定义用户管理器，您也可以像这样执行此任务：
from rest_framework.authtoken.models import Token
# Other imports
class UserManager(BaseUserManager):
def create_user(self, **kwargs):
"""
This is your custom method for creating user instances.
IMHO, if you're going to do this, you might as well use a signal.
"""
# user = self.model(**kwargs) ...
Token.objects.create(user=user)
#You may also choose to handle this upon user activation.
#Again, a signal works as well here.
def activate_user(**kwargs):
# user = ...
Token.objects.create(user=user)
如果您已经创建了用户，那么您可以下拉到终端中的 python shell 并为您的数据库中的所有用户创建令牌。
>>> from django.contrib.auth.models import User
>>> from rest_framework.authtoken.models import Token
>>> for user in User.objects.all():
>>> ... Token.objects.create(user=user)
希望对您有所帮助。
【讨论】：
有一种更简洁的方式来获取用户令牌。
只需运行 manage.py shell
然后
from rest_framework.authtoken.models import Token
from django.contrib.auth.models import User
u = User.objects.get(username='admin')
token = Token.objects.create(user=u)
print token.key
那么应该在表 DB_Schema.authtoken_token 中找到一条记录
【讨论】：
除了这里的优秀答案，我想提一个更好的令牌认证方法：JSON Web Token Authentication。 http://getblimp.github.io/django-rest-framework-jwt/ 提供的实现非常好用。
this answer 中更详细地解释了这些好处。
【讨论】：
JSON Web Token Authentication 是比 Token Authentication 更好的选择。此项目已使用 Django (http://getblimp.github.io/django-rest-framework-jwt/) 实现了 JWT Auth，但目前该项目未维护。
对于替代方案，您可以关注：https://github.com/davesque/django-rest-framework-simplejwt
【讨论】：