DRF-认证 权限 频率组件

补充

　　1 认证 权限 频率组件原理基本相同

　　2 认证相关：

　　　　session cookie token 认证相关的  这里用token

　　　　token 1 有时间限制，超时则失效 2 每次登录更换一个token

　　3 访问频率限制

　　　　1 防止同一时间多次访问的黑客攻击，增加服务器压力。

　　4 我们的解析 认证 权限 频率 是在用户get post等请求之前就做好了的

　　5 uuid随机数模块，uuid.uuid4()获取随机数

认证 权限 频率组件操作流程

认证需要建立user表和token表

# 用户表
class User(models.Model):
    user=models.CharField(max_length=32)
    pwd=models.CharField(max_length=32)
    type=((1,"VIP"),(2,"SVIP"),(3,"SSSVIP"))
    user_type=models.IntegerField(choices=type)


# token表
class UserToken(models.Model):
    user=models.OneToOneField("User")
    token=models.CharField(max_length=128)

用户登录视图添加token

from app01.models import User,UserToken

class LoginView(APIView):
    """
    1000:成功
    1001:用户名或者密码错误
    1002:异常错误
    """
    def post(self,request):

       response = {"code": 1000, "msg": None, "user": None}
       try:
           print(request.data)
           user = request.data.get("user")
           pwd = request.data.get("pwd")

           user = User.objects.filter(user=user, pwd=pwd).first()
           import uuid
           random_str = uuid.uuid4()
           if user:

               UserToken.objects.update_or_create(user=user, defaults={"token": random_str})
               response["user"] = user.user
               response["token"] = random_str
           else:
               response["code"] = 1001
               response["msg"] = "用户名或者密码错误"

       except Exception as e:
           response["code"]=1002
           response["msg"]=str(e)


       return Response(response)

认证自定义的模块

其中继承 BaseAuthentication除了类本生加的功能外还继承了header方法，如果不继承需要自己写一个header方法，否则会报错！

from app01.models import UserToken
from rest_framework.exceptions import AuthenticationFailed

from rest_framework.authentication import BaseAuthentication

class UserAuth(BaseAuthentication):

    def authenticate(self,request):

        token=request.query_params.get("token")

        usertoken=UserToken.objects.filter(token=token).first()
        if usertoken:
              return usertoken.user,usertoken.token
        else:
            raise AuthenticationFailed("认证失败！")

权限组件自定义的模块

from rest_framework.permissions import AllowAny


class SVIPPermission(object):
    message="您没有访问权限！"
    def has_permission(self,request,view):
        if request.user.user_type >= 2:
            return True
        return False

频率组件自定义的模块

以一分钟访问3次为例

from rest_framework.throttling import BaseThrottle

VISIT_RECORD={}
class VisitThrottle(BaseThrottle):

    def __init__(self):
        self.history=None

    def allow_request(self,request,view):
        remote_addr = request.META.get('REMOTE_ADDR')
        print(remote_addr)
        import time
        ctime=time.time()

        if remote_addr not in VISIT_RECORD:
            VISIT_RECORD[remote_addr]=[ctime,]
            return True

        history=VISIT_RECORD.get(remote_addr)
        self.history=history

        while history and history[-1]<ctime-60:
            history.pop()

        if len(history)<3:
            history.insert(0,ctime)
            return True
        else:
            return False

    def wait(self):
        import time
        ctime=time.time()
        return 60-(ctime-self.history[-1])

在全局中的定制

REST_FRAMEWORK={
    # 解析器组件
    'DEFAULT_PARSER_CLASSES': (
        'rest_framework.parsers.JSONParser',
        'rest_framework.parsers.FormParser',
    ),
    # 认证组件
   'DEFAULT_AUTHENTICATION_CLASSES': (
        'app01.utils.auth_class.UserAuth',

    ),
    # 权限组件
    'DEFAULT_PERMISSION_CLASSES': (
         'app01.utils.permission_class.SVIPPermission',
    ),
    # 频率组件  
    'DEFAULT_THROTTLE_CLASSES': (),
}

在局部中的定制及在视图中的使用

# 导入自定义的认证功能类
from app01.utils.auth_class import UserAuth
# 导入自定义的权限功能类
from app01.utils.permission_class import SVIPPermission
# 导入自定义的频率功能类
from app01.utils.throttle_classes import VisitThrottle


from rest_framework.throttling import BaseThrottle
class VisitThrottle(BaseThrottle):
    def allow_request(self,request,view):
         """
         限制IP每分钟访问不能超过3次
         :param request:
         :param view:
         :return:
         """
         print(self.get_ident(request))
         remote_addr = request.META.get('REMOTE_ADDR')
         print("REMOTE_ADDR",remote_addr)
         return False




class BookView(APIView):
    # 认证
    # authentication_classes = [UserAuth]
    # 权限
    # permission_classes = [SVIPPermission]
    # 频率
    throttle_classes = [VisitThrottle]

    def get(self,request):
        '''
        查看所有书籍
        :param request:
        :return:
        '''

        print(request.user,request.auth)



        book_list=Book.objects.all()
        serializer=BookSerializer(book_list,many=True)
        return Response(serializer.data)

    def post(self,request):
        '''
        添加一条书籍
        :param request:
        :return:
        '''
        print(request.data)

        serializer=BookSerializer(data=request.data,many=False)

        if serializer.is_valid():
            serializer.save() # create操作

            return Response(serializer.data)
        else:
            return Response(serializer.errors)

class SBookView(APIView):

    def get(self,request,id):
        edit_obj=Book.objects.get(pk=id)
        serializer=BookSerializer(edit_obj,many=False)
        return Response(serializer.data)

    def put(self,request,id):
        edit_obj = Book.objects.get(pk=id)
        serializer=BookSerializer(data=request.data,instance=edit_obj)
        if serializer.is_valid():
            serializer.save() # edit_obj.update(request.data)
            return Response(serializer.data)
        else:
            return Response(serializer.errors)


    def delete(self,request,id):
        edit_obj = Book.objects.get(pk=id).delete()
        return Response("")    

以认证为例的源码解析

//用户访问，当经过dispath时
1 def dispatch(self, request, *args, **kwargs):
        self.initial(request, *args, **kwargs)
  initial()是我们的解析 认证 权限 频率功能
2 在initial函数中
    def initial(self, request, *args, **kwargs):
        # 执行认证功能
        self.perform_authentication(request)
        # 执行权限功能
        self.check_permissions(request)
        # 执行频率功能
        self.check_throttles(request)
3 我们走perform_authentication(request)认证功能
    def perform_authentication(self, request):
        request.user
    从这里我们要从request实例中找user方法
4 我们通过request实例对象找到它的类中的user方法
    def dispatch(self, request, *args, **kwargs):
        request = self.initialize_request(request, *args, **kwargs)
    def initialize_request(self, request, *args, **kwargs)
        return Request(
            request,
            parsers=self.get_parsers(),
            authenticators=self.get_authenticators(),
            negotiator=self.get_content_negotiator(),
            parser_context=parser_context
        )
    class Request(object):
        def user(self):
            if not hasattr(self, '_user'):
                with wrap_attributeerrors():
                self._authenticate()
            return self._user
5 在_authenticate()中：
    def _authenticate(self):
        # 和解析器一样，获得[UserAuth()] 获得顺序：当前视图类下-->全局setting-->默认default
        for authenticator in self.authenticators:
            try:
                # 执行authenticate方法进行验证，返回元组/空 或抛出一个异常
                user_auth_tuple = authenticator.authenticate(self)
            except exceptions.APIException:
                self._not_authenticated()
                raise
            # 如果返回一个元组则执行下面的语句
            if user_auth_tuple is not None:
                self._authenticator = authenticator
                self.user, self.auth = user_auth_tuple
                # 这里有个坑，如果返回元组，则直接结束_authenticate函数，不继续循环了！
                return
    这里如果不抛异常则进入下一个组件