一、关于配置
django: 配置为AUTHENTICATION_BACKENDS,setting.py不写的话,AUTHENTICATION_BACKENDS默认设置为(‘django.contrib.auth.backends.ModelBackend’,),
这是检测Django用户数据库的基本认证方案。按照 AUTHENTICATION_BACKENDS 的排列顺序,如果同样的用户名和密码在第一次就匹配了,那么Django将停止处理后面的东西
restful: 配置为 DEFAULT_AUTHENTICATION_CLASSES
REST_FRAMEWORK = { 'DEFAULT_AUTHENTICATION_CLASSES': [ 'rest_framework.authentication.BasicAuthentication', 'rest_framework.authentication.SessionAuthentication', 'rest_framework.authentication.TokenAuthentication', 'rest_framework_simplejwt.authentication.JWTAuthentication', ], 'DEFAULT_PAGINATION_CLASS': 'rest_framework.pagination.PageNumberPagination', 'PAGE_SIZE': 2 } AUTHENTICATION_BACKENDS = ( #new 'rest_framework.authentication.TokenAuthentication', #default ModelBackend 'django.contrib.auth.backends.ModelBackend', )
二、django什么时候调用authenticate?
1.django, 在login view中,进行用户验证时, 调用 django.contrib.auth.authenticate.
def login_custom(request): if request.method == 'POST': # create a form instance and populate it with data from the request: form = myAuthenticationForm(request.POST) # check whether it's valid: if form.is_valid(): username = form.cleaned_data['username'] password = form.cleaned_data['password'] user = authenticate(request, username=username, password=password) if user is not None: login(request, user) return redirect('login:home') else: return render(request, 'registration_my/login_custom.html', {'form': form})
验证的参数: 可以是username+password, 也可以是token,
返回:none 或 setting. AUTH_USER_MODEL (如果不custom,则是auth.user)
注意,如果不调用 django.contrib.auth.authenticate. 那么setting. AUTHENTICATION_BACKENDS根本用不上,就不会被调用。
三. restful 什么时候调用DEFAULT_AUTHENTICATION_CLASSES 中的定义类?
参考:https://www.cnblogs.com/eric_yi/p/8422373.html
在setting.py中,配置参数,token认证需要和权限认证配合使用
REST_FRAMEWORK = { 'DEFAULT_PERMISSION_CLASSES': ( 'rest_framework.permissions.IsAuthenticated', ), 'DEFAULT_AUTHENTICATION_CLASSES': ( 'rest_framework.authentication.TokenAuthentication', ), }
如下,所有继承 rest framework的APIView的类,都会走token认证,而有的view我们不需要认证,则在view中,指定permission_classes
和 authentication_classes为空,
如下:则是不走token认证。
class LoginView(APIView): authentication_classes = () permission_classes = () def post(self, request): username = request.data.get('username') password = request.data.get('password')
(1) APIView中,不指定permission_classes = (xxx)
和 authentication_classes = (xxx)
,默认会进行setting.py中的 token认证。,发起请求时候,需要在请求头中添加 Authorization=Token 7d7770cb909ceead7d33ea7bafe7e6034ee012fc
(2)为需要的view指定permission_classes 和 authentication_classes, 则该view 不使用settings中添加REST_FRAMEWORK
permission_classes = (permissions.AllowAny,) # 所有用户
permission_classes = (permissions.IsAuthenticated,) # 登陆成功的token
permission_classes = (permissions.IsAuthenticatedOrReadOnly,) # 登陆成功的token,只能读操作
permission_classes = (permissions.IsAdminUser,) # 登陆成功的管理员token
注意,APIView中,调用 django.contrib.auth.authenticate时候,同样与普通django一样,调用的是配置参数AUTHENTICATION_BACKENDS中的内容
四. restful 认证详解
DEFAULT_AUTHENTICATION_CLASSES、AUTHENTICATION_BACKENDS 可以定制多个类, 有框架默认,还可以自己定制。
1. 认证成功后的返回参数
(1). 返回参数:restful authenticate 返回元组(return (toke_obj.user, toke_obj)) ,分别是user model 和 userToken model 的instanse
(2). django 的authentivate返回user model instanse
2. 配置多个authenticate时候循环调用机制
如下,是restful的 APIView在进行request请求时候,层层跟踪,会执行如下语句,就是循环找认证函数的逻辑
class APIView(View):
as_view():dispatch():initialize_request():get_authenticators():
self.authentication_classes
self.perform_authentication 实现认证。 (认证就是取得user和token信息,至于是否拒绝访问,主要看permission。
def _authenticate(self): """ Attempt to authenticate the request using each authentication instance in turn. """ for authenticator in self.authenticators: try: #执行认证类的authenticate方法 #这里分三种情况 #1.如果authenticate方法抛出异常,self._not_authenticated()执行 #2.有返回值,必须是元组:(request.user,request.auth) #3.返回None,表示当前认证不处理,等下一个认证来处理 user_auth_tuple = authenticator.authenticate(self) except exceptions.APIException: self._not_authenticated() raise if user_auth_tuple is not None: self._authenticator = authenticator self.user, self.auth = user_auth_tuple #返回值对应示例中的token_obj.user和token_obj return
配置了多个authenticate, 则循环调用,遇到异常停止,返回none,说明不使用本认证,会依次调用下一个。
最后若都没有返回值,就执行self._not_authenticated(),相当于匿名用户,没有通过认证,并且此时django会返回默认的匿名用户设置AnonymousUser
注意,每一个APIView都需要认证,认证分全局和局部。
全局:所有的未局部定义的APIView都有效
#全局认证配置 REST_FRAMEWORK = { "DEFAULT_AUTHENTICATION_CLASSES":['API.utils.auth.Authentication',] #其中写认证的类的路径,不要在views中,这里我放在了utils目录下auth.py中 }
局部:在APIView中单独定义
authentication_classes = [] #authentication_classes为空,代表不需要认证
匿名:
REST_FRAMEWORK = { "DEFAULT_AUTHENTICATION_CLASSES":['API.utils.auth.Authentication',], #其中写认证的类的路径,不要在views中,这里我放在了utils目录下auth.py中 "UNAUTHENTICATED_USER": lambda:"匿名",#匿名用户配置,只需要函数或类的对应的返回值,对应request.user="匿名" "UNAUTHENTICATED_token": None,#匿名token,只需要函数或类的对应的返回值,对应request.auth=None
##路径:rest_framework.authentication BaseAuthentication是django rest framework为我们提供了最基本的认证类 BasicAuthentication #基于浏览器进行认证 SessionAuthentication #基于django的session进行认证 RemoteUserAuthentication #基于django admin中的用户进行认证,这也是官网的示例 TokenAuthentication #基于drf内部的token认证
如何进行定制?
(1)继承BaseAuthentication,重写authenticate方法和authenticate_header(pass就可以),authenticate()
方法需要有三种情况(返回元祖、出现异常、返回none)。
(2)定制完后,进行注册(配置)
#全局认证 REST_FRAMEWORK = { "DEFAULT_AUTHENTICATION_CLASSES":['API.utils.auth.Authentication',] } #局部认证 authentication_classes = [BaseAuthentication,] #是某个视图不进行认证 authentication_classes =[]
restful的例子
from rest_framework.views import APIView from rest_framework.response import Response class HelloView(APIView): def get(self, request): content = {'message': 'Hello, World!'} return Response(content)
如上代码,不会走认证,被调用时候,会返回 200 {'message': 'Hello, World!'}
class HelloView(APIView): permission_classes = (IsAuthenticated,) # <-- And here def get(self, request): content = {'message': 'Hello, World!'} return Response(content)
增加一行 permission_classes = (IsAuthenticated,) ,则只有认证过的用户才可以访问。
直接被调动时候,报错,HTTP 403 Forbidden error.
INSTALLED_APPS = [ # Django Apps 'django.contrib.admin', 'django.contrib.auth', 'django.contrib.contenttypes', 'django.contrib.sessions', 'django.contrib.messages', 'django.contrib.staticfiles', # Third-Party Apps 'rest_framework', 'rest_framework.authtoken', # <-- Here # Local Apps (Your project's apps) 'myapi.core', ] REST_FRAMEWORK = { 'DEFAULT_AUTHENTICATION_CLASSES': [ 'rest_framework.authentication.TokenAuthentication', # <-- And here ], }
class HelloView(APIView):
在APIView中,不指定authentication_classes, 则默认都会用全局设定setting.DEFAULT_AUTHENTICATION_CLASSES,
想单独去掉认证,则设定authentication_classes=[] ,想定制独特的认证,可以在APIView中设置。
必须和permission_classes 结合在一起使用,才能限制API的访问。 认证过程,仅仅是取得request.user 和request.auth , 而permission才是去检查user和auth,去限制访问。
五. django 认证详解
1. AUTHENTICATION_BACKENDS 默认为'django.contrib.auth.backends.ModelBackend',
认证成功,返回user model 否则 none
2. contrib.auth.authenticate的代码, 它调用的AUTHENTICATION_BACKENDS
def authenticate(request=None, **credentials): """ If the given credentials are valid, return a User object. """ for backend, backend_path in _get_backends(return_tuples=True): try: inspect.getcallargs(backend.authenticate, request, **credentials) except TypeError: # This backend doesn't accept these credentials as arguments. Try the next one. continue try: user = backend.authenticate(request, **credentials) except PermissionDenied: # This backend says to stop in our tracks - this user should not be allowed in at all. break if user is None: continue # Annotate the user object with the path of the backend. user.backend = backend_path return user # The credentials supplied are invalid to all backends, fire signal user_login_failed.send(sender=__name__, credentials=_clean_credentials(credentials), request=request)
3. 我们(程序员)调用contrib.auth.auth.authenticate 时候,传入参数可以是
username+userpassword 或者是Token , 因为 **credentials接收的是{}字典
def signup(request): if request.method == 'POST': form = UserCreationForm_simple(request.POST) if form.is_valid(): form.save() username = form.cleaned_data.get('username') raw_password = form.cleaned_data.get('password1') user = authenticate(username=username, password=raw_password) login(request, user) return redirect('login:home')
4. 如何定制 backends authentication
参考 https://docs.djangoproject.com/en/3.0/topics/auth/customizing/
An authentication backend is a class that implements two required methods:
get_user(user_id)
andauthenticate(request, **credentials)
,其中,authenticate ()
方法要返回user. 看起来这样:
from django.contrib.auth.backends import BaseBackend class MyBackend(BaseBackend): def authenticate(self, request, username=None, password=None): # Check the username/password and return a user.
或者
from django.contrib.auth.backends import BaseBackend class MyBackend(BaseBackend): def authenticate(self, request, token=None): # Check the token and return a user.
总结: authentication()就是检查用户的凭证(userame+password, 或者 token 或者其他,)成功则返回user,否则返回None
注意,凭证不限于db, 也可以是文件,任意逻辑都可以,返回user则OK,官网实例是通过文件。
5.定制完 class 后,要在setting 的 AUTHENTICATION_BACKENDS中,增加设置该class为候选。
但这并不代表,服务启动了,它就被自动调用了。只有在需要登录的时候调用 contrib.auth.authenticate , contrib.auth.authenticate循环调用AUTHENTICATION_BACKENDS 的定义。
按倒序,由里往外总结
(1)定制 BACKEND authenticate, 加入到 setting.AUTHENTICATION_BACKENDS 列表中
(2)contrib.auth.authenticate 循环调用 backend authenticate ,返回user 或 none 或抛出异常
(3)在我们程序员自己的view中,如 loginView, 调用contrib.auth.authenticate,进行认证。
def signup(request): if request.method == 'POST': form = UserCreationForm_simple(request.POST) if form.is_valid(): form.save() username = form.cleaned_data.get('username') raw_password = form.cleaned_data.get('password1') user = authenticate(username=username, password=raw_password)
本站文章如无特殊说明,均为本站原创,如若转载,请注明出处:django, django_restful 关于Authentication的学习总结 - Python技术站