Django REST Framework 认证 - 权限

一. 认证

　　(你是谁?)

　　REST framework 提供了一些开箱即用的身份验证方案，并且还允许你实现自定义方案。

自定义Token认证

　　第一步 : 建表>>>>

　　　　定义一个用户表和一个保存用户Token的表

class UserInfo(models.Model):

    username = models.CharField(max_length=16)

    password = models.CharField(max_length=32)

    type = models.SmallIntegerField(

        choices=((0, '普通用户'), (1, 'VIP用户')),

        default=0

    )

class Token(models.Model):

    user = models.OneToOneField(to='UserInfo')

    token_code = models.CharField(max_length=128)

　　第二步: 定义一个登陆视图 >>>>

from rest_framework.views import APIView

from app2 import models

from rest_framework.response import Response

import hashlib, time

def get_random_token(username):

    """

    根据用户名和时间戳生成随机token

    """

    timestamp = str(time.time())

    m = hashlib.md5(bytes(username, encoding="utf-8"))

    m.update(bytes(timestamp, encoding="utf-8"))

    return m.hexdigest()

class LoginView(APIView):

    """

    校验用户名是否正确从而生成token的视图

    """

    def post(self, request):

        res = {"code": 0}

        # print(request.data)

        username = request.data.get("username")

        password = request.data.get("password")

        user = models.UserInfo.objects.filter(username=username, password=password).first()

        if user:

            token = get_random_token(username)

            models.Token.objects.update_or_create(defaults={"token_code": token}, user=user)

            res["token"] = token

        else:

            res["code"] = 1

            res["error"] = "用户名或密码错误"

        return Response(res)

　　第三步: 定义一个认证类 >>>>

from rest_framework.authentication import BaseAuthentication

from rest_framework.exceptions import AuthenticationFailed

from app2 import models

class MyAuth(BaseAuthentication):

    def authenticate(self, request):

        # if request.method in ["POST", "PUT", "DELETE"]:  

        # 如果在表单中需要判断请求方式    由于表单是post请求,所以获取token 的方式为 request.data.get("token")

        # request.query_params为url中的参数

        request_token = request.query_params.get("token", None)

        if not request_token:

            raise AuthenticationFailed('q.缺少token')

        token_obj = models.Token.objects.filter(token_code=request_token).first()

        if not token_obj:

            raise AuthenticationFailed("无效的Token")

        # token_obj.user 通过token这张表的对象和user这个关联字段 找到 UserInfo表的对象及当前用户对象

        return token_obj.user, request_token

        # else:

        #     return None, None

　　第四步: 使用认证类 >>>>

　　　　视图级别认证

class CommentViewSet(ModelViewSet):

    queryset = models.Comment.objects.all()

    serializer_class = app01_serializers.CommentSerializer

    authentication_classes = [MyAuth, ]

　　　　全局级别认证

# 在settings.py中配置

REST_FRAMEWORK = {

    "DEFAULT_AUTHENTICATION_CLASSES": ["app01.utils.MyAuth", ]

}

二. 权限

　　(你能干什么?) 设置只有VIP才能看到的东西

第一步: 自定义一个权限类

"""

自己动手写一个权限组件

"""

from rest_framework.permissions import BasePermission

class MyPermission(BasePermission):

    message = '只有VIP才能访问'

    def has_permission(self, request, view):

        # 认证类中返回了token_obj.user, request_token

        # request.auth 等价于request_token

        if not request.auth:

            return False

        # request.user为当前用户对象

        if request.user and request.user.type == 1:  # 如果是VIP用户

            print("requ", request.user, type(request.user))

            return True

        else:

            return False

第二步: 使用

　　视图级别配置

class CommentViewSet(ModelViewSet):

    queryset = models.Comment.objects.all()

    serializer_class = app01_serializers.CommentSerializer

    authentication_classes = [MyAuth, ]

    permission_classes = [MyPermission, ]

　　全局级别设置

# 在settings.py中设置rest framework相关配置项

REST_FRAMEWORK = {

    "DEFAULT_AUTHENTICATION_CLASSES": ["app01.utils.MyAuth", ],

    "DEFAULT_PERMISSION_CLASSES": ["app01.utils.MyPermission", ]

}

三. 控制

　　(你一分钟能干多少次?)**好像有点污~~

第一步: 自定义限制类 >>>>

import time

# from rest_framework.throttling import

visit_record = {}

class MyThrottle(object):

    def __init__(self):

        self.history = None

    def allow_request(self, request, view):

        # 拿到当前的请求的ip作为访问记录的 key

        ip = request.META.get('REMOTE_ADDR')

        # 拿到当前请求的时间戳

        now = time.time()

        if ip not in visit_record:

            visit_record[ip] = []

        # 把当前请求的访问记录拿出来保存到一个变量中

        history = visit_record[ip]

        self.history = history

        # 循环访问历史，把超过10秒钟的请求时间去掉

        while history and now - history[-1] > 10:

            history.pop()

        # 此时 history中只保存了最近10秒钟的访问记录

        if len(history) >= 3:

            return False

        else:

            # 判断之前有没有访问记录（第一次来）

            self.history.insert(0, now)

            return True

    def wait(self):

        """告诉客户端还需等待多久"""

        now = time.time()

        return self.history[-1] + 10 - now

# history = ['9:56:12', '9:56:10', '9:56:09', '9:56:08']  # '9:56:18' - '9:56:12'

# history = ['9:56:19', '9:56:18', '9:56:17', '9:56:08']

# 最后一项到期的时间就是下一次允许请求的时间

# 最后一项到期的时间：now - history[-1] > 10

# 最后一项还剩多少时间过期

# history[-1] + 10 - now

第二步: 使用 >>>

　　视图中使用

class CommentViewSet(ModelViewSet):

    queryset = models.Comment.objects.all()

    serializer_class = app01_serializers.CommentSerializer

    throttle_classes = [MyThrottle, ]

　　全局中使用

# 在settings.py中设置rest framework相关配置项

REST_FRAMEWORK = {

    "DEFAULT_AUTHENTICATION_CLASSES": ["app01.utils.MyAuth", ],

    "DEFAULT_PERMISSION_CLASSES": ["app01.utils.MyPermission", ]

    "DEFAULT_THROTTLE_CLASSES": ["app01.utils.MyThrottle", ]

}

其实还可以使用内置限制类

from rest_framework.throttling import SimpleRateThrottle

class VisitThrottle(SimpleRateThrottle):

    scope = "xxx"

    def get_cache_key(self, request, view):

        return self.get_ident(request)

　　全局配置

# 在settings.py中设置rest framework相关配置项

REST_FRAMEWORK = {

    "DEFAULT_AUTHENTICATION_CLASSES": ["app01.utils.MyAuth", ],

    # "DEFAULT_PERMISSION_CLASSES": ["app01.utils.MyPermission", ]

    "DEFAULT_THROTTLE_CLASSES": ["app01.utils.VisitThrottle", ],

    "DEFAULT_THROTTLE_RATES": {

        "xxx": "5/m",

    }

}

看源码:

　　1.认证流程

　　2. 权限

巴特西

Django REST Framework 认证 - 权限 - 限制

最新文章

热门文章