【测试平台学习3】 Django 实现LDAP连接Freeipa登录，重写AuthToken

前言

初步使用了Django搭建了一个后端接口，本文单独就django的登录进行解读。

关于登录

Django的登录编写是比较简单的，主要现在做系统或者平台一般是接入成熟的登录，例如： 钉钉、freeipa、公司内部账号管理系统等等。

关于接入钉钉的登录，网上很多，本文就不再赘述，主要介绍一种通过Django对接freeipa的方式，登录认证方式通过LDAP。

1. 安装ldap3

(网上很多介绍让你安装另外一种方式Python-LDAP的，你安装下去会吐血。基本不可用了,会出很多问题)

 pip install ldap3

2. settings配置

    这些值需要和你系统内的FREEIPA对齐

LDAP_AUTH_URL 

LDAP_AUTH_SEARCH_BASE 

LDAP_AUTH_URL = 'ldap://ipa.xxx.cn:389'
LDAP_AUTH_USE_TLS = False
LDAP_AUTH_SEARCH_BASE = 'dc=in,dc=***,dc=cn'
LDAP_AUTH_OBJECT_CLASS = "*"
LDAP_AUTH_USER_FIELDS = {
    "username": "uid",
}
# LDAP_AUTH_USER_LOOKUP_FIELDS = ("uid",)
LDAP_AUTH_CLEAN_USER_DATA = "django_python3_ldap.utils.clean_user_data"
LDAP_AUTH_SYNC_USER_RELATIONS = "django_python3_ldap.utils.sync_user_relations"
LDAP_AUTH_FORMAT_SEARCH_FILTERS = "django_python3_ldap.utils.format_search_filters"
LDAP_AUTH_FORMAT_USERNAME = "django_python3_ldap.utils.format_username_openldap"

3. 登录脚本的编写

  这里面有几个坑：

  3.1 登录是接入式的，你需要新增一个用户UserToken表来存储用户数据和token以及设置用户token的失效时间等等

        加入你用django自带的user表【亲测，非常不好用，里面的字段都定制化了，例如包含了first_name,last_name,email 但是和可能你接入的用户完全没有这些信息】

        还有就是自带的user_token 后续你使用的请求里面带token或者id会不方便， 它是用request.user.pk 去携带用户id的，实际使用的时候这个pk值很可能是null （原因可能就是你没有first_name什么的）

        解决方案： 新增一个UserToken表， 重写AuthToken 逻辑，加上token过期判断

3.2  LDAP连接的时候报错，[LDAP bind failed: LDAPInvalidCredentialsResult - 49 - invalidCredentials]

       解决方案：修改 依赖包site-packages/django_python3_ldap/ldap.py

       原因是django-ldap里面设置了user查询的参数默认是错误的，一定要修改成你项目组Freeipa要求的形式，如下。

    if kwargs:
        password = kwargs.pop("password")
        username = format_username(kwargs)
        # 需要改造       
        username='uid={},cn=***,cn=***,dc=in,dc=***,dc=cn'.format(kwargs.pop("username"))

class Login_LDAP(APIView):
    # 访问登录接口不需要授权 
    authentication_classes = []
    permission_classes = ()
    # 序列化请求 
    serializer_class = AuthTokenSerializer

    def post(self, request, *args, **kwargs):
        """
        用户登录
        :param request:
        :param args:
        :param kwargs:
        :return:
        """

        serializer = self.serializer_class(data=request.data,
                                           context={"request": request})
        serializer.is_valid(raise_exception=True)
        user = serializer.validated_data["username"]
        password = serializer.validated_data["password"]
        print(user, password)
        server = Server(host=ldap_host, port=ldap_port, use_ssl=False, get_info='ALL')
        dn = 'uid={},cn=***,cn=***,'.format(user) + search_dn
        # 通过用户名和密码去访问Freeipa，获取Freeipa的认证信息
        conn = Connection(server, dn, password, auto_bind=True)
        if conn.result["description"] == "success":
            time_now = datetime.datetime.now()
            user_instance = UserToken.objects.filter(username=user)
            # 生成一个MD5格式的token，切记别用Django自带的token
            token = md5(user)
            if user_instance:
                # 更新你的用户表
                UserToken.objects.update(username=user, token=token,
                                         expiration_time=time_now)
            else:
                UserToken.objects.create(username=user, token=token,
                                         expiration_time=time_now)

            return JsonResponse(data=token, code="200", msg="成功")

        else:
            return JsonResponse(data={'用户Freeipa登录失败'}, code="400", msg="失败")


obtain_auth_token = Login_LDAP.as_view()

4. 重写认证AuthToken

    4.1 这里可以用 cache 存储登录的信息， 发请求的时候调用这里，使用 request.user.id 即可调用用户id  ，  request.user.username则是用户名

    4.2 设置了token超时时间，可以配置到settings.py里面去， REST_FRAMEWORK_TOKEN_EXPIRE_MINUTES=60 

    4.3 其他接口调用该认证则是在接口下使用： authentication_classes = [TokenAuthentication，]   另外要设置到settings.py 里面添加这个  

　　'DEFAULT_AUTHENTICATION_CLASSES': [
    　　# 'rest_framework.authentication.BasicAuthentication',
    　　'utils.authentication.TokenAuthentication', ],

    

from django.conf import settings
from rest_framework.authentication import BaseAuthentication

from django.core.cache import cache
from rest_framework.exceptions import APIException

EXPIRE_MINUTES = getattr(settings, 'REST_FRAMEWORK_TOKEN_EXPIRE_MINUTES', 1)


class TokenAuthentication(BaseAuthentication):
    """Set up token expired time"""

    def authenticate(self, request):
        token = request.META.get('HTTP_TOKEN')  # 将token放入请求头中
        
        user = cache.get(token)
        
        token_obj = UserToken.objects.filter(token=token).first()
        user = {"user": user,
                "id": token_obj.id}
        if user['user'] is not None:
            print(user)
            return user, token
        if not token_obj:
            raise APIException('Auth Failed!!')
        create_time = token_obj.expiration_time
        
        now_time = datetime.datetime.now()
        
        delta = now_time - create_time
        
        if delta < datetime.timedelta(days=EXPIRE_MINUTES):
            remain_time = datetime.timedelta(days=EXPIRE_MINUTES) - delta
            
            cache.set(token_obj.token, token_obj.username, min(remain_time.total_seconds(), 3600 * 24))
            
            user = {
                "user": cache.get(token),
                "id": token_obj.id
            }
            print("user:", user)
            return user, token
        else:
            raise APIException('认证超时')

5. 设置UserToken的Models

     5.1 本来django有内置的User表，问题是它不适合大部分的情况，上面也说了原因，所以才有如下的设置。其他表在调用用户表的时候使用外键链接既可

     5.2 注意这里的外键只能是int型的id，有些设置的时候返回一些str类型会报错，包括序列化的时候。

     5.3  比较诡异的是在设置如下的用户表，进行数据库迁移，表名没有按照我写的db_name来， 而是 【appname_usertoken】

# 存放用户登录成功后的token
class UserToken(models.Model):
    id = models.AutoField(primary_key=True, verbose_name='id主键')
    username = models.CharField(max_length=50, unique=True, verbose_name='用户名')
    token = models.CharField(max_length=64, verbose_name="用户token")
    expiration_time = models.DateTimeField(default=datetime.now, verbose_name="Token过期时间")

    class Mate:
        db_table = "test_user_token"
        verbose_name = "用户Token"
        verbose_name_plural = verbose_name

    def __str__(self):
        return self.token




# 通过外键关联其他的SQL表
    user = models.ForeignKey(UserToken, on_delete=models.CASCADE, max_length=50, verbose_name='创建人')

结语

Django 提供了太多定制化的操作，不是很好用，单单对于初学者来说，写个用户认证+Token都这么麻烦... 优缺点总结如下：

1. 框架本身提供的model-view-urls-form 这一套可以和spring mvc架构媲美，而且简易程度差不多，用户不用写sql ，而可以关注业务本身

2. 框架提供的User-Token 过于定制化了，肯定不适用于公司项目，要开发人员自行去修改大量的配置以及重写等等，这一块是完全不合适的。

3. 用户千万别一不小心升级django， 升级后会造成一系列不适配的问题，只能回退原版本，这一点来说java的spring是碾压，因为java的高版本肯定是兼容低版本的。

未完待续...