JWT的原理及使用

JWT的原理及使用

一、什么是JWT？

Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。原本通过客户端cookie和服务端session各存一个随机字符串的方式对服务端的存储压力很大，于是token应运而生，它只要求客户端存储一串加密字段，而不需要服务端存储。

JWT由三部分组成的

header头用于声明类型，声明加密算法等，甚至会添加公司信息

payload荷载存放有效信息的地方，过期时间、签发时间、用户id等

signature签名是通过前两个部分通过秘钥+加密的方式得到的

整体以.隔开的三段密文，而密文的加密方式一般是base64

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

而base64是可以解码的一种编码格式，base编码常用于网络运输，让数据看起来像密文，一般人就不去尝试解密了。因为base64是对二进制进行加密，所以照片数据等也都可以用base64加密传输*它加密的结果一定是4的倍数，当倍数不足时，用等号补齐即可下面是简单使用方法

import base64
import json
# base64编码
payload = {'user_id': 1, 'exp': 1234567890}
dic_str = json.dumps(payload)  # 将字典转为字符串
enc_payload = base64.b64encode(dic_str.encode('utf-8'))  # 二进制加密
print(enc_payload)
# base64解密
print(base64.b64decode('base64的密文'))  # 是不是二进制都可以

二、签发认证流程

访问登录接口时，发送header和payload的数据，然后在服务端使用加密算法和秘钥进行签名，生成token，然后响应时将token返回给浏览器，让浏览器进行保存。
JWT的原理及使用
访问其他接口时，浏览器将token发往服务端，再次将header和payload按相同的加密方式和秘钥加密，得到的签名与token第三段（也就是第一次的签名）比对，比对成功则认证成功。

三、使用方法

# 第三方模块要在终端下载
pip3.8 install djangorestframework-jwt -i https://pypi.douban.com/simple

1.设置登录接口

# 这样配置个路由即可，基于Django原生的auth_user表去封装登录接口
from rest_framework_jwt.views import obtain_jwt_token
urlpatterns = [
    path('login/', obtain_jwt_token),
]

2.设置过期事件

# 在配置文件里配置过期时间
import datetime
JWT_AUTH = {
    # 过期时间1天
    'JWT_EXPIRATION_DELTA': datetime.timedelta(days=1),
  	# 如果不自定义，返回的格式是固定的，只有token字段
    'JWT_RESPONSE_PAYLOAD_HANDLER': 'app01.utils.jwt_response_payload_handler',
}

3.定制返回格式

# 如果想要定制返回格式，让它不止有token字段，可以重写jwt_response_payload_handler，然后直接配置到字典中即可
# 在app01下新建一个utils.py文件写函数 写上该方法即可，不用导入什么的
def jwt_response_payload_handler(token, user=None, request=None):
    return {
        'code': 100,
        'msg': '登录成功',
        'token': token,
        'username': user.username
    }

4.配置认证类和权限类

# JWT要跟登录认证和权限类配个使用，这俩认证类没有传token值时直接让通过，这样逻辑岂不是很尴尬嘛
# 当然得写认证类和权限类
from rest_framework_jwt.authentication import JSONWebTokenAuthentication
from rest_framework.permissions import IsAuthenticated

authentication_classes = [JSONWebTokenAuthentication] 
permission_classes = [IsAuthenticated]

5.写登录逻辑

from rest_framework.response import Response
from rest_framework.decorators import action
from rest_framework.viewsets import ViewSet
from django.contrib.auth.models import User


class LoginView(ViewSet):
    # 这里要配认证类和权限类
    @action(methods=['POST'], detail=False)
    def login(self, request):
        username = request.data.get('username')
        password = request.data.get('password')
        user = User.objects.filter(username=username, password=password).first()
        if user:
            return Response({'code': '100', 'msg': '登录成功'})
        else:
            return Response({'code': '101', 'msg': '用户名或密码错误'})

5.配路由

from django.contrib import admin
from django.urls import path, include
from rest_framework.routers import SimpleRouter
from app01 import views

router = SimpleRouter()

router.register('login', views.LoginView, 'login')
from rest_framework_jwt.views import obtain_jwt_token

urlpatterns = [
    path('login/', obtain_jwt_token),
    path('admin/', admin.site.urls),
    path('api/v1/', include(router.urls)),
]

秒客网