drf 认证组件
1、认证组件源码执行流程
在该图中，我把与认证组件无关的代码都删除了，只留下了认证的代码，方便解析。每行注释的开头数字即代表了执行顺序
注意事项：
- 第5步中的self.authenticators获取流程：
- 首先，明确self代表的是request对象。则self.authenticators相当于去request对象中寻找authenticators的值。
- 其次，Request在实例化得到request对象时，在参数中可传入authenticators的值
- 通过下图流程分析：self.authenticators其实就是在视图类中定义的authentication_classes（也可在drf的配置中默认设置）
-
authentication_classes必须是一个列表（可迭代对象）
-
由于源码中指定了会执行authenticate方法，因此编写认证类时，认证函数名必须是authenticate，return时应该返回一个元组，且类需继承自BaseAuthentication
2. 实践：编写一个token认证类
假设token存储于数据库。另注意：实际工作中编写代码最好采用白名单模式。
class UnAuthentication(BaseAuthentication): # 默认继承BaseAuthentication
def authenticate(self, request): # 认证函数名固定为authenticate
# 获取token
token = request.query_params.get("token")
# 未传token
if not token:
return None
# 数据库不存在该token
user_object = models.UserInfo.objects.filter(token=token, status=1).first()
if not user_object:
return None
# token过期
if datetime.datetime.now() > user_object.token_expiry_date:
return None
return user_object, token # 认证成功，返回元组
3. 扩展点：
从认证失败后的执行过程中可发现：即使认证失败了程序也不会报错，且会继续执行后面的视图函数：
# --------认证失败----------
def _not_authenticated(self):
self._authenticator = None
if api_settings.UNAUTHENTICATED_USER:
self.user = api_settings.UNAUTHENTICATED_USER()
else:
self.user = None
if api_settings.UNAUTHENTICATED_TOKEN:
self.auth = api_settings.UNAUTHENTICATED_TOKEN()
else:
self.auth = None
那么第一个需求来了，如果我需要在认证失败后，立即让程序报错并停止执行后面的代码，该如何重写呢？
（仅供参考）答案：直接在认证失败后主动抛出错误即可：
class TokenAuthentication(BaseAuthentication):
def authenticate(self, request):
# 获取token
token = request.query_params.get("token")
# 未传token
if not token:
raise AuthenticationFailed({"code": return_code.AUTH_FAILED, "error": "认证失败，token不存在"})
# 数据库不存在该token
user_object = models.UserInfo.objects.filter(token=token, status=1).first()
if not user_object:
raise AuthenticationFailed({"code": return_code.AUTH_FAILED, "error": "认证失败123"})
# token过期
if datetime.datetime.now() > user_object.token_expiry_date:
raise AuthenticationFailed({"code": return_code.AUTH_OVERDUE, "error": "认证过期"})
return user_object, token
第二个需求：如果前端传token时不规范，有时在请求头里传，有时在查询参数中传....，那么该如何应用认证组件进行校验呢？
（仅供参考）答案：既然源码中对认证类列表进行循环了，则直接编写多个认证类即可（有多个认证类时，建议不要直接raise，否则可能导致后面的认证类无法校验）
class QueryParamsAuthentication(BaseAuthentication):
def authenticate(self, request):
# 判断token是否正确
# 1. 从查询参数获取token
token = request.query_params.get("token")
if not token:
return
# 2. 去数据库获取该token
user_obj = models.UserInfo.objects.filter(token=token).first()
# 有对象则认证成功，返回 request.user = 用户对象; request.auth = token
if user_obj:
return user_obj, token
return
def authenticate_header(self, request):
# return 'Basic realm="API"'
return "API"
class HeaderAuthentication(BaseAuthentication):
def authenticate(self, request):
# 判断token是否正确
# 1. 从请求头获取token
token = request.META.get("HTTP_AUTHORIZATION")
if not token:
return
# 2. 去数据库获取该token
user_obj = models.UserInfo.objects.filter(token=token).first()
# 有对象则认证成功，返回user和auth
if user_obj:
return user_obj, token
return
def authenticate_header(self, request):
# return 'Basic realm="API"'
return "API"
如果有多个认证类，则建议在最后一个认证类中默认抛出错误即可
class QueryParamsAuthentication(BaseAuthentication):
def authenticate(self, request):
# 判断token是否正确
# 1. 从查询参数获取token
token = request.query_params.get("token")
if not token:
return
# 2. 去数据库获取该token
user_obj = models.UserInfo.objects.filter(token=token).first()
# 有对象则认证成功，返回 request.user = 用户对象; request.auth = token
if user_obj:
return user_obj, token
return
def authenticate_header(self, request):
# return 'Basic realm="API"'
return "API"
class HeaderAuthentication(BaseAuthentication):
def authenticate(self, request):
# 判断token是否正确
# 1. 从请求头获取token
token = request.META.get("HTTP_AUTHORIZATION")
if not token:
return
# 2. 去数据库获取该token
user_obj = models.UserInfo.objects.filter(token=token).first()
# 有对象则认证成功，返回user和auth
if user_obj:
return user_obj, token
return
def authenticate_header(self, request):
# return 'Basic realm="API"'
return "API"
class NoAuthentication(BaseAuthentication):
def authenticate(self, request):
raise AuthenticationFailed({"code": 10001, "detail": "认证失败"})