在 Django Rest Framework 中替换基本身份验证

Question

我目前有带有 Knox 令牌身份验证的 Django 基本身份验证设置。 Basic Auth 似乎不足以用于生产工作，所以我想替换它。 Django 是否有另一个基于密码的authentication_class，我可以轻松地将BasicAuthentication 替换为，或者这是一个更复杂的过程？如果是这样，我从哪里开始？

我的登录 api 视图：

class UserLoginView(GenericAPIView):
  serializer_class = UserOrganizationSerializer
  authentication_classes = (BasicAuthentication,)
  permission_classes = (IsAuthenticated,)

  def post(self, request):
      """User login with username and password."""
      token = AuthToken.objects.create(request.user)
      return Response({
        'user': self.get_serializer(request.user).data,
        'token': token
      })

我的默认身份验证类：

REST_FRAMEWORK = {
'DEFAULT_PERMISSION_CLASSES': [],
'DEFAULT_AUTHENTICATION_CLASSES': [
    'rest_framework.authentication.SessionAuthentication',
    'rest_framework.authentication.BasicAuthentication',
],

Answer 1

一种非常常见的方法是使用 JSON Web Token (JWT)。基本包是django-rest-framework-jwt。 documentation 中的说明非常清楚，但这里有一个概述：

$> pip install djangorestframework-jwt

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': (
        'rest_framework_jwt.authentication.JSONWebTokenAuthentication',
        ...
    ),

添加网址格式

url_patterns = [ 
    path('jwt/', obtain_jwt_token, name='jwt'),
    ...
]

获取令牌（使用出色的 httpie 实用程序）

http post localhost:8000/api/jwt/ username=u password=p
{
    "token": "REALLY-LONG-TOKEN"
}

使用该令牌发出请求：

http get localhost:8000/api/some-endpoint/ Authorization:"JWT REALLY-LONG_TOKEN"

一些注意事项

• JWT 令牌意味着可由客户端解码。它们受签名保护，因此无法修改
• 您可以解码令牌 (online) 并查看过期时间和其他数据
• 可以通过包提供的其他 url 刷新或验证令牌
• 最终刷新会失败，用户需要重新登录。此时间跨度是可配置的（请参阅我对 this other question 的回复）