16.DRF-JWT
一、基于JWT的Token登录认证
1. JWT简介
json Web Token（缩写JWT）是目前最流行的跨域认证解决方案
session登录的认证方案是看，用户从客户端传递用户名和密码登录信息，服务端认证后将信息储存在session中，将session_id放入cookie中，以后访问其他页面，服务器都会带着cookie，服务端会自动从cookie中获取session_id,在从session中获取认证信息。
SRE实战 互联网时代守护先锋，助力企业售后服务体系运筹帷幄！一键直达领取阿里云限量特价优惠。JWT的解决方案是，将认证信息返回个客户端，储存在客户端，下次访问其他页面，需要从客户端传递认证信息回服务器端。
2. JWT原理
JWT原理就是，服务器认证后，生成一个json格式的对象 ，发送个客户端，
{
"用户名": "admin",
"角色": "超级管理员",
"到期时间": "2019-07-13 00:00:00"
}
以后，客户端域服务器通信的时候，都要发回这个json对象，服务器完全靠这个对象认定用户身份，（但肯定不会像上面那样，那么简单的发送一个对象）这样的话，session中就没有数据了，后面更容易实现扩展
3. JWT的数据结构
JWT分为三个部分，header（头部） payload （负载） signature （签名）
一个完整的JWT数据是这样的
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiIsImp0aSI6IjNmMmc1N2E5MmFhIn0.
eyJpYXQiOjE1NjI4MzM0MDgsImlzcyI6Imh0dHA6XC9cL3d3dy5weWcuY29tIiwiYXVkIjoiaHR0cDpcL1wvd3d3LnB5Zy5jb20iLCJuYmYiOjE1NjI4MzM0MDcsImV4cCI6MTU2MjkxOTgwOCwianRpIjoiM2YyZzU3YTkyYWEiLCJ1c2VyX2lkIjoxfQ.
NFq1qQ-Z5c4pwit8ZkyWEwX6SBXmnHJcc6ZDgSD5nhU
中间是有三个点的，分别就是 头部 负载 和签名 （点在每一行的最后）
3.1 头部 是一个json对象 作用是描述JWT元数据，一般是这样的
{
"alg": "HS256", //表示签名的算法默认是 HMAC SHA256（写成 HS256）
"typ": "JWT" //表示这个令牌（token）的类型（type），JWT 令牌统一写为JWT
}
最后，将上面的 JSON 对象使用 Base64URL 算法（详见后文）转成字符串。
3.2 负载 也是一个 JSON 对象 ，用来存放实际需要传递的数据。JWT 规定了7个官方字段，供选用
除了官方字段，你还可以在这个部分定义私有字段
这个 JSON 对象也要使用 Base64URL 算法转成字符串（防止除了用户的人看见嘛）。
注意：JWT 默认是不加密的，任何人都可以读到，所以不要把秘密信息放在这个部分。（虽然加密了，防止解密的坏人解密后修改在加密）
3.3 签名 是对前两部分的签名（可以理解成在加密一份），防止数据篡改。
首先，需要指定一个密钥（自己设置），这个密钥只有服务器才知道，不能泄露给用户。
使用 Header 里面指定的签名算法（默认是 HMAC SHA256）产生签名
如：HMACSHA256(base64UrlEncode(header) + "." +base64UrlEncode(payload),secret) //使用Header 里面指定的签名算法 将头部和负载部用逗号拼接起来，在加上自己设置的秘钥
那么签名就出来的。
签名出来后，现在有了 头部的字符串，和负载的字符串 ，还有签名的，在将这三个字符串用 . 拼接出来，就可以将这个拼接好的字符串，返回给客户端的
JWT数据就返回得了客户端，需要注意的是，头部和负载部，是用base64URL转成字符串的，签名是用头部指定的算法转成字符串的 不用弄混掉
4. JWT 的使用方式
客户端，接受到了服务器返回的jwt，可以储存到cookie中，也可以储存在 localStorage。
此后，客户端每次与服务器通信，都要带上这个 JWT。你可以把它放在 Cookie 里面自动发送，但是这样不能跨域，所以更好的做法是放在 HTTP 请求的头信息Authorization字段里面。
一旦我们使用的JWT，JWT的类别人封装好的，会自动将生成的token放入响应头中去，然后再次去访问页面的时候会带着响应回来token去访问页面
JWT在请求头中发送，如：会多了个请求头
Authorization: Bearer <token>
然后，在服务器中，需要验证这个token，是否有效
二、Django---使用jwt中的token鉴权机制完成状态保持的步骤
1. 安装包 djangorestframework-jwt
pip install djangorestframework-jwt
2. 配置drf, jwt过期时间
REST_FRAMEWORK = {
''''''
# 身份认证的方式:JWT session
'DEFAULT_AUTHENTICATION_CLASSES': (
# 前后端分离使用jwt验证
'rest_framework_jwt.authentication.JSONWebTokenAuthentication',
# 访问admin后台使用session
'rest_framework.authentication.SessionAuthentication',
),
}
# 过期时间为10小时
JWT_AUTH = {
# timedelta 时间差
'JWT_EXPIRATION_DELTA': datetime.timedelta(hours=10),
}
3. 在创建use对象的时候手动生成token
# 需要生成token
from rest_framework_jwt.settings import api_settings
jwt_payload_handler = api_settings.JWT_PAYLOAD_HANDLER
jwt_encode_handler = api_settings.JWT_ENCODE_HANDLER
payload = jwt_payload_handler(user)
token = jwt_encode_handler(payload) # header.payload.signature
4. 在序列化中定义只输出的token属性
token = serializers.CharField(read_only=True)
5. 为user添加token属性才能输出到客户端
user.token = token
