Django：基于 DRF 令牌的身份验证 VS JSON Web 令牌

Question

我正在构建一个真实世界的应用程序，用户将主要从 Android、iOS 设备以及桌面访问该应用程序。

从我的初步研究中，我意识到，与基于会话的身份验证相比，基于令牌的身份验证机制对于客户端-服务器模型来说更好更优雅。

在 Django 中，我发现了两种流行的方法 -

1. http://www.django-rest-framework.org/api-guide/authentication/#tokenauthentication
2. http://getblimp.github.io/django-rest-framework-jwt/

据我了解，选项 2] 是 1] 的扩展，除了 Token 是 JSON（序列化）的形式。我想了解选项 1] 和 2] 之间还有哪些其他区别以及选择其中任何一个的优点/缺点。

Answer 1

他们都执行相似的任务，几乎没有区别。

令牌

DRF 的内置令牌认证

1. 一个令牌用于所有会话
2. 令牌上没有时间戳

DRF JWT 令牌认证

1. 每个会话一个令牌
2. 每个令牌的到期时间戳

数据库访问

DRF 的内置令牌认证

1. 获取与令牌关联的用户的数据库访问权限
2. 验证用户状态
3. 验证用户身份

DRF JWT 令牌认证

1. 解码令牌（获取有效负载）
2. 验证令牌时间戳（到期）
3. 数据库访问以获取与有效负载中的 id 关联的用户
4. 验证用户状态
5. 验证用户身份

优点

DRF 的内置令牌认证

1. 允许通过替换数据库中的令牌来强制注销（例如：密码更改）

DRF JWT 令牌认证

1. 具有过期时间的令牌
2. 除非令牌有效，否则不会命中数据库

缺点

DRF 的内置令牌认证

1. 数据库命中所有请求
2. 所有会话的单一令牌

DRF JWT 令牌认证

1. 如果不在数据库中跟踪令牌，则无法调用它
2. 令牌发出后，任何拥有令牌的人都可以提出请求
3. 规范可以解释，对于如何进行刷新没有达成共识