本节内容:
为了方便接下来的学习,我们创建一个新的子应用 four
python manage.py startapp four
因为接下来的功能中需要使用到登陆功能,所以我们使用django内置admin站点并创建一个管理员.
python manage.py createsuperuser 填一下用户名、邮箱和密码 root 1232@qq.com 123
创建管理员以后,访问admin站点,先修改站点的语言配置
settings.py
访问admin 站点效果:
from rest_framework import settings中可以看到它默认使用的 在settings配置文件中,我们可以进行下面的配置来覆盖默认配置 REST_FRAMEWORK = { 'DEFAULT_AUTHENTICATION_CLASSES': ( #哪个写在前面,优先使用哪个认证 'rest_framework.authentication.SessionAuthentication',
# session认证,admin后台其实就使用的session认证,其实接口开发很少用到session认证,#
所以我们通过配置可以改为其他认证,比如后面项目里面我们用到jwt,JSON WEB TOKEN认证,或者一些配合redis的认证 'rest_framework.authentication.BasicAuthentication',
# 基本认证,工作当中可能一些测试人员会参与的话,他们会将一些认证数据保存在内存当中,然后验证的,我们基本上用不上 ) }
看效果:能够看到我们当前的登陆用户了就,其实不配置也能看到,因为我们并没有修改认证系统
也可以在每个视图中通过设置authentication_classess属性来设置,比如说我们很多接口的数据都是可以让别人获取数据的,但是有可能有些接口是调用给别人网站的,有可能到时候我们就需要一些单独的认证了
from rest_framework.authentication import SessionAuthentication, BasicAuthentication from rest_framework.views import APIView class ExampleView(APIView): # 类属性 authentication_classes = [SessionAuthentication, BasicAuthentication] #也可以写成元祖形式的,到时候我们使用我们自己开发的认证组件的时候,就需要自己写一个认证组件类,然后写在列表中来使用 ...
1.2 自定义认证组件
1.2.1 写一个认证类
需要继承一个基类 BaseAuthentication 然后重写基类中的方法
return 返回的两个值分别为用户信息(xx)和其他信息(oo),可以用一下方法获取
request.user = 'xx'
request.token = 'oo'
from rest_framework.authentication import BaseAuthentication from rest_framework.exceptions import AuthenticationFailed class APIAuth(BaseAuthentication): def authenticate(self, request): print(request) #<rest_framework.request.Request object at 0x1142bd190> request.user if 1: return 'xx','oo' #request.user = 'xx' request.auth = 'oo' request.token = 'oo' else: raise AuthenticationFailed('认证失败')
全局使用,settings配置文件中使用
REST_FRAMEWORK = { 'DEFAULT_AUTHENTICATION_CLASSES': ( ... 'four.utils.auth.APIAuth', #类的路径 ), }
局部视图中使用:
from rest_framework.authentication import SessionAuthentication, BasicAuthentication from four.utils.auth import APIAuth class AuthAPIView(APIView): authentication_classes = [APIAuth,] def get(self,request): print('>>>>',request.user) #AnonymousUser 匿名用户,假用户 print('>>>>',request.auth) #AnonymousUser 匿名用户,假用户 #>>>> root return Response({'msg':'hello'})
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
1 class UserAuth(): 2 def authenticate_header(self,request): 3 pass 4 #authenticate方法固定的,并且必须有个参数,这个参数是新的request对象,不信,看源码 5 def authenticate(self,request): 6 print('搞事情') 7 if 1: 8 #源码中会发现,这个方法会有两个返回值,并且这两个返回值封装到了新的request对象中了,request.user-->用户名 和 request.auth-->token值,这两个值作为认证结束后的返回结果 9 return "chao","asdfasdfasdf" 10 11 class BookView(APIView): 12 #认证组件肯定是在get、post等方法执行之前执行的,还记得源码的地方吗,这个组件是在dispatch的地方调用的,我们是上面写个UserAuth类 13 authentication_classes = [UserAuth,] #认证类可以写多个,一个一个的顺序验证 14 def get(self,request): 15 ''' 16 查看所有书籍 17 :param request: 18 :return: 19 ''' 20 #这样就拿到了上面UserAuth类的authenticate方法的两个返回值 21 print(request.user) 22 print(request.auth) 23 book_obj_list = models.Book.objects.all() 24 s_books = BookSerializers(book_obj_list,many=True) 25 return Response(s_books.data)
-
在执行视图的dispatch()方法前,会先进行视图访问权限的判断
-
可以在配置文件中全局设置默认的权限管理类,如
REST_FRAMEWORK = { .... 'DEFAULT_PERMISSION_CLASSES': ( 'rest_framework.permissions.IsAuthenticated', #登录状态下才能访问我们的接口,可以通过退出admin后台之后,你看一下还能不能访问我们正常的接口就看到效果了 ) }
如果未指明,则采用如下默认配置
from rest_framework import permissions 'DEFAULT_PERMISSION_CLASSES': ( 'rest_framework.permissions.AllowAny', #表示任何人都可以进行任何的操作,没做限制 )
也可以在具体的视图中通过permission_classes属性来设置,如
from rest_framework.permissions import IsAuthenticated from rest_framework.views import APIView class ExampleView(APIView): permission_classes = (IsAuthenticated,) ...
-
AllowAny 允许所有用户
-
IsAuthenticated 仅通过认证的用户
-
IsAdminUser 仅管理员用户(可以通过admin创建一个用户进行测试)
-
from rest_framework.authentication import SessionAuthentication from rest_framework.permissions import IsAuthenticated from rest_framework.generics import RetrieveAPIView class StudentAPIView(RetrieveAPIView): queryset = Student.objects.all() serializer_class = StudentSerializer authentication_classes = [SessionAuthentication] permission_classes = [IsAuthenticated]
-
.has_permission(self, request, view)
是否可以访问视图, view表示当前视图对象
-
.has_object_permission(self, request, view, obj)
from rest_framework.permissions import BasePermission class IsXiaoMingPermission(BasePermission): def has_permission(self, request, view): if( request.user.username == "xiaoming" ): return True
from .permissions import IsXiaoMingPermission class StudentViewSet(ModelViewSet): queryset = Student.objects.all() serializer_class = StudentSerializer permission_classes = [IsXiaoMingPermission]
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
认证组件和权限组件的使用流程 认证组件: 1 drf默认自带的认证组件是session那一套 2 自定认证组件 a: 项目中创建一个文件夹,比如叫做xx b: 在xx文件夹中创建一个py文件,比如叫做xxx.py c: 在xxx.py文件中定义一个类,名称随意,比如叫做 class Auth(BaseAuthentication),需要继承drf提供的基础认证类 from rest_framework.authentication import BaseAuthentication d:在认证类中就可以定义一个authenticate 方法 def authenticate(self,request): if 1: return "chao","asdfasdfasdf" e: 全局使用: 在settings.py配置文件中来指定这个类的路径 REST_FRAMEWORK = { # 'DEFAULT_AUTHENTICATION_CLASSES': ( # 'xx.xxx.Auth', # 自定义认证类 # ), } f:局部使用: 在视图类中通过类属性来指定 class IndexView(APIView): authentication_classes = [Auth, ] def get(self, request): print(request.user) print(request.auth) return Response({'xx': '老白'}) 权限组件 :过程基本面一致
REST_FRAMEWORK = { 'DEFAULT_THROTTLE_CLASSES': ( 'rest_framework.throttling.AnonRateThrottle', #匿名用户,未登录的 'rest_framework.throttling.UserRateThrottle' #经过登录之后的用户 ), 'DEFAULT_THROTTLE_RATES': { 'anon': '100/day', 'user': '1000/day' } }
源码: {'s': 1, 'm': 60, 'h': 3600, 'd': 86400} m表示分钟,可以写m,也可以写minut
也可以在具体视图中通过throttle_classess属性来配置,如
from rest_framework.throttling import UserRateThrottle from rest_framework.views import APIView class ExampleView(APIView): throttle_classes = (UserRateThrottle,) ...
1) AnonRateThrottle
限制所有匿名未认证用户,使用IP区分用户。
使用DEFAULT_THROTTLE_RATES['anon']
来设置频次
2)UserRateThrottle
限制认证用户,使用User id 来区分。
使用DEFAULT_THROTTLE_RATES['user']
'DEFAULT_THROTTLE_RATES': { 'anon': '3/minute', 'user': '10/minute' }
from rest_framework.authentication import SessionAuthentication from rest_framework.permissions import IsAuthenticated from rest_framework.generics import RetrieveAPIView from rest_framework.throttling import UserRateThrottle class StudentAPIView(RetrieveAPIView): queryset = Student.objects.all() serializer_class = StudentSerializer authentication_classes = [SessionAuthentication] permission_classes = [IsAuthenticated] throttle_classes = (UserRateThrottle,)
3.4 自定义频率组件
from rest_framework.throttling import BaseThrottle,SimpleRateThrottle import time from rest_framework import exceptions visit_record = {} class VisitThrottle(BaseThrottle): # 限制访问时间 VISIT_TIME = 10 VISIT_COUNT = 3 # 定义方法 方法名和参数不能变 def allow_request(self, request, view): # 获取登录主机的id id = request.META.get('REMOTE_ADDR') self.now = time.time() if id not in visit_record: visit_record[id] = [] self.history = visit_record[id] # 限制访问时间 while self.history and self.now - self.history[-1] > self.VISIT_TIME: self.history.pop() # 此时 history中只保存了最近10秒钟的访问记录 if len(self.history) >= self.VISIT_COUNT: return False else: self.history.insert(0, self.now) return True def wait(self): return self.history[-1] + self.VISIT_TIME - self.now
四、过滤组件
对于列表数据可能需要根据字段进行过滤,我们可以通过添加django-fitlter扩展来增强支持。
pip install django-filter
在配置文件中增加过滤后端的设置:
INSTALLED_APPS = [ ... 'django_filters', # 需要注册应用, ] REST_FRAMEWORK = { ... 'DEFAULT_FILTER_BACKENDS': ('django_filters.rest_framework.DjangoFilterBackend',) }
在视图中添加filter_fields属性,指定可以过滤的字段
例如:127.0.0.1:8000/four/students/?sex=1
可以在访问上面的路径查询sex=1的所有数据
class StudentListView(ListAPIView): # def get:return self.list() 查询所有数据 queryset = Student.objects.all() serializer_class = StudentSerializer filter_fields = ('age', 'sex') # 127.0.0.1:8000/four/students/?sex=1
在类视图中设置filter_backends,使用rest_framework.filters.OrderingFilter
过滤器,REST framework会在请求的查询字符串参数中检查是否包含了ordering参数,如果包含了ordering参数,则按照ordering参数指明的排序字段对数据集进行排序。
示例:
class StudentListView(ListAPIView): queryset = Student.objects.all() serializer_class = StudentModelSerializer filter_backends = [OrderingFilter] ordering_fields = ('id', 'age') # 127.0.0.1:8000/books/?ordering=-age # 必须是ordering=某个值 # -id 表示针对id字段进行倒序排序 # id 表示针对id字段进行升序排序
如果需要在过滤以后再次进行排序,则需要两者结合!
from rest_framework.generics import ListAPIView from students.models import Student from .serializers import StudentModelSerializer from django_filters.rest_framework import DjangoFilterBackend #需要使用一下它才能结合使用 class Student3ListView(ListAPIView): queryset = Student.objects.all() serializer_class = StudentModelSerializer filter_fields = ('age', 'sex') # 因为filter_backends是局部过滤配置,局部配置会覆盖全局配置,所以需要重新把过滤组件核心类再次声明, # 否则过滤功能会失效 filter_backends = [OrderingFilter,DjangoFilterBackend] ordering_fields = ('id', 'age') # 127.0.0.1:8000/books/?sex=1&ordering=-age