9_25中间键与登录认证

一。django中间件简介。

　　在django中，有这样的生命周期：

 　　中间件就是处于wsgiref和urls模块中间，可以拦截所有的请求，其中有7个默认中间件：

　　MIDDLEWARE = [
　　'django.middleware.security.SecurityMiddleware',
　　'django.contrib.sessions.middleware.SessionMiddleware',
　　'django.middleware.common.CommonMiddleware',
　　'django.middleware.csrf.CsrfViewMiddleware',
　　'django.contrib.auth.middleware.AuthenticationMiddleware',
　　'django.contrib.messages.middleware.MessageMiddleware',
　　'django.middleware.clickjacking.XFrameOptionsMiddleware',
　　]

　　其中1，是安全相关的2，是session相关的，4是post提交数据相关，5是登录认证相关。

　　中间件中有固定的几个方法，其中也有用户自定义的5个中间件方法。

　　django中间件是类似于是django的保安请求的时候需要先经过中间件才能到达django后端响应走的时候也需要经过中间件才能到达web服务网关接口(urls,views,templates,models)。

　　而中间件可以用来做这些：网站全局的身份校验,访问频率限制,权限校验...只要是涉及到全局的校验你都可以在中间件中完成 。

　　中间件的执行时从上往下，而response则是从下往上。

二。中间件自定义：

　　自定义中间件需要导入模块，让类继承自这个模块，这些类所在的模块，就是setting中的配置路径：

from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import HttpResponse

class MyMdd(MiddlewareMixin):
    def process_request(self,request):
        print('我是第一个中间件里面的process_request方法')


    def process_response(self,request,response):
        print('我是第一个中间件里面的process_response方法')
        return response

    def process_view(self,request,view_func,view_args,view_kwargs):
        print(view_func)
        print(view_args)
        print(view_kwargs)
        print('我是第一个中间件里面的process_view方法')

    def process_exception(self, request, exception):
        print('我是第一个中间件里面的process_exception')

    def process_template_response(self, request, response):
        print('我是第一个中间件里面的process_template_response')
        return response

　　1.process_request()方法。

　　当setting中配置的在文件中的类有该方法时，会在以下情况触发：

　　首先，会接受一个request参数。这个就是前端发来的请求。请求来的时候会从上到下执行每一个中间件里的process_request方法。

　　如果在里面直接返回了HttpResponse对象，则会直接返回，不会再往下执行。可进行身份校验。

　　2.process_response()方法

　　当返回前端页面时，会从下往上执行所有中间件中的process_response值。

　　每个该方法必须要返回response方法，也必须要接受该方法，如果有的中间件中没有返回该值，则会报错，当没有这个界面。

　　3.process_view()

　　这个方法再路由匹配成功，执行视图函数之前，的时候会执行并触发。

　　其中view_func，代表的是该函数地址。

　　4.process_exception()

　　当你视图函数报错时，会执行该函数，exception代表的是错误类型。

　　5.process_template_response()

　　这是一个比较特殊的类型，

def index(request):
    print('我是index视图函数')
    def render():
        return HttpResponse('什么鬼玩意')
    obj = HttpResponse('index')
    obj.render = render
    return obj        

　　如果你的返回的HttpResponse对象中，有render方法的时候，就会走这个中间件。

三。csrf跨站请求伪造。

　　在网站获取用户隐秘信息的时候，有一些钓鱼网站就会混在里面，他们的样子一样，但是使用了隐藏表单。

　　首先获取正常的页面中一些表单name，再自己做一个一摸一样的，当输入转账用户时，将一个表单隐藏，name设置为正常页面的name，表现出来的表单不设置名字，再将action提交的信息提交到原网站中，这样的网站就会将自己的信息返回。

　　如何防止这种钓鱼网站呢？

　　网站会给返回给用户的form表单页面 偷偷塞一个随机字符串。

　　请求到来的时候 会先比对随机字符串是否一致 如果不一致 直接拒绝(403)。

　　这就是中间件所做的事情。

　　而防止措施，只要再表单中添加关键字段：

{% csrf_token %}

　　就可以在渲染模板的时候，返回一段随机的字符串，name值是：csrfmiddlewaretoken，而当提交表单的时候，这个中间件就会校验这个值。

 　　当ajax发送值的时候，需要先获取这个值，将他已键值对的方式，放入提交的数据中。

　　1.现在页面上写{% csrf_token %},利用标签查找  获取到该input键值信息。

{
    'username':'jason',
    'csrfmiddlewaretoken':$('[name=csrfmiddlewaretoken]').val()}

　　2.直接书写'{{ csrf_token }}'

{'username':'jason','csrfmiddlewaretoken':'{{ csrf_token }}'}

　　3.可以将该获取随机键值对的方法 写到一个js文件中,之后只需要导入该文件即可。

　　首先新建一个js文件，放以下代码，之后导入就行了：

function getCookie(name) {
    var cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        var cookies = document.cookie.split(';');
        for (var i = 0; i < cookies.length; i++) {
            var cookie = jQuery.trim(cookies[i]);
            // Does this cookie string begin with the name we want?
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}
var csrftoken = getCookie('csrftoken');


function csrfSafeMethod(method) {
  // these HTTP methods do not require CSRF protection
  return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
}

$.ajaxSetup({
  beforeSend: function (xhr, settings) {
    if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
      xhr.setRequestHeader("X-CSRFToken", csrftoken);
    }
  }
});

　　更多细节详见：Djagno官方文档中关于CSRF的内容

四。网站的全局校验装饰器

　　当网站全局都需要校验csrf的时候，有几个不需要校验时，可以导入模块：

　　1.fbv的校验方式

from django.views.decorators.csrf import csrf_exempt,csrf_protect
@csrf_exempt
def login(request):
    return HttpResponse('login')


@csrf_protect
def lll(request):
    return HttpResponse('lll')

　　也就是说，exempt当所有的视图函数都需要校验csrf的时候，某一个函数不需要，就使用exempt方法。

　　当所有视图函数都不需要校验csrf的时候，某一个函数需要校验，就使用protect方法。

　　2.cbv的校验方法：

　　对于csrf_protect。有三种方法可以进行校验：

　　该模块是针对给类装饰的。

　　from django.utils.decorators import method_decorator  

from django.utils.decorators import method_decorator    
from django.views.decorators.csrf import csrf_exempt,csrf_protect
# 第一种方式
# @method_decorator(csrf_protect,name='post')  # 有效的
class MyView(View):
    # 第三种方式
    # @method_decorator(csrf_protect)
    def dispatch(self, request, *args, **kwargs):
        res = super().dispatch(request, *args, **kwargs)
        return res

    def get(self,request):
        return HttpResponse('get')
    # 第二种方式
    # @method_decorator(csrf_protect)  # 有效的
    def post(self,request):
        return HttpResponse('post')

　　第一种方法就是添加该方法和他所需要校验的函数，装饰到类上。

　　第二种是直接装饰到函数上。

　　第三种是装饰到任务分发器种。

　　对于csrf_exempt只有两种方式：

from django.utils.decorators import method_decorator    
from django.views.decorators.csrf import csrf_exempt,csrf_protect
@method_decorator(csrf_exempt,name='dispatch')  # 第二种可以不校验的方式
class MyView(View):
    # @method_decorator(csrf_exempt)  # 第一种可以不校验的方式
    def dispatch(self, request, *args, **kwargs):
        res = super().dispatch(request, *args, **kwargs)
        return res

    def get(self,request):
        return HttpResponse('get')

    def post(self,request):
        return HttpResponse('post')

　　也就是说这种方法只能给dispatch装校验，无论是通过类分发还是什么。这是个特例，在其他装饰器的时候，可以通过三种方法进行装饰。

五。用户的登录验证组件。

　　在django框架中，执行数据库迁移命令后，会生成很多表，其中有一张auth_user表，这是一张用户信息相关的表格，可以对他执行一些用户的存储：

　　1.创建超级用户。

　　使用命令行创建一个超级用户：

createsuperuser  #创建超级用户 这个超级用户就可以拥有
登陆django admin后台管理的权限

　　2.查询用户：

　　需要导入模块，其中authenticate就是查询该用户是否存在的函数：

from django.contrib import auth
user_obj = auth.authenticate(username=username,password=password)  
# 必须要用 因为数据库中的密码字段是密文的 而你获取的用户输入的是明文

　　这个函数会返回一个user_obj对象，这个对象可以进行点操作取出其中的用户名，密码等数据。

　　这个函数不支持单用户名查询数据，需要两个一起。

　　3.记录用户状态。

auth.login(request,user_obj)  # 将用户状态记录到session中

　　auth.login这个方法只要执行就可以在后端任意位置通过request.user获取到当前用户对象。当然也可以通过点操作获取其中的值。如果没有运行该方法，则点出来的是一个匿名对象。

　　这句话就相当于request.session['user'] =user_obj

　　4.判断用户是否登录。

　　鉴于第三条，可以通过判断该对象是否是匿名用户来判断是否登录，但是django给封装了一个方法判断：

print(request.user.is_authenticated)  

# 判断用户是否登录  如果是你们用户会返回False

　　这段话就可以判断是否登录。

　　5。就以上的函数已经可以做一个装饰器用来判断登录状态了，但是django有自己封装方法：

　　局部配置：

from django.contrib.auth.decorators import  login_required
@login_required(login_url='/xxx/')  # 局部配置
    def index(request):
        pass

　　其中xxx就是登录的界面地址。

　　全局配置：

　　可以在setting中配置文件：

LOGIN_URL = '/xxx/'

　　这样就可以省略装饰器后面的指定。

　　6.验证密码是否正确：

　　在修改密码时需要判断老密码是否正确时：

request.user.check_password(old_password)

　　返回布尔值。

　　7.修改密码。

　　在修改密码时需要将用户对象保存：

request.user.set_password(new_password)
request.user.save()  # 修改密码的时候 一定要save保存 否则无法生效

　　8.退出登录。

　　退出登录时，相当于这个操作request.session.flush()。将用户登录装填清除。

auth.logout(request)  # request.session.flush()

　　9.用户注册。

　　注册时可以使用三种方法，其中第一种没有将密码加密，不建议使用：

from django.contrib.auth.models import User

导入用户表
# User.objects.create(username =username,password=password)  
# 创建用户名的时候 千万不要再使用create 了
# User.objects.create_user(username =username,password=password)  
# 创建普通用户
User.objects.create_superuser
(username =username,password=password,email='123@qq.com')  

# 创建超级用户  邮箱必填

　　其中，创建超级会员邮箱是必填的。

　　当然，在创建用户的时候需要先校验一下该用户是否存在。这样的操作需要自己的表。

六。自定义用户表

　　自定义用户表有两种方法：

　　1. 使用一对一关系  不考虑。

　　2.使用类的继承。

　　首先需要在模型层中导入要继承的类。

from django.contrib.auth.models import AbstractUser

　　定义表的时候，不能使用原来表的字段，不能重复，只能创新。

class Userinfo(AbstractUser):
    # 千万不要跟原来表中的字段重复 只能创新
    phone = models.BigIntegerField()
    avatar = models.CharField(max_length=32)

　　创建好表后，需要在设置中配置该类，作为user类的替代。

AUTH_USER_MODEL = 'app01.Userinfo'  # '应用名.类名'

　　这样的创建后的表，其中就没有auth_user，而是直接变成了你所创建的表。其中包函了auth_user的所有字段，和你添加的外键字段。

　　而且，所有的表都基于你创建的表，而不再使用原来的表。

　　这个表适用于所有的auth方法。

七。中间件插拔式源码：

　　如下。

import settings
import importlib


def send_all(content):
    for path_str in settings.NOTIFY_LIST:  # 1.拿出一个个的字符串   'notify.email.Email'
        module_path,class_name = path_str.rsplit('.',maxsplit=1)  # 2.从右边开始 按照点切一个 ['notify.email','Email']
        module = importlib.import_module(module_path)  # from notity import msg,email,wechat
        cls = getattr(module,class_name)  # 利用反射 一切皆对象的思想 从文件中获取属性或者方法 cls = 一个个的类名
        obj = cls()  # 类实例化生成对象
        obj.send(content)  # 对象调方法

　　配置文件：

NOTIFY_LIST = [
    'notify.email.Email',
    'notify.msg.Msg',
    # 'notify.wechat.WeChat',
    'notify.qq.QQ',
]

　　该表结构是：