Django初窥门径-oauth登录认证
引言
在现代Web应用程序中，用户身份验证和授权是至关重要的组成部分。Django，一个流行的Python Web框架，为用户身份验证提供了内置支持。本文将探讨如何创建和注册Django应用，自定义身份验证服务，配置AUTHENTICATION_BACKENDS，创建视图以及如何使用API视图获取当前登录用户的信息。
Django框架和OAuth身份验证
Django是一个高度可定制的Web框架，它提供了强大的工具和库，用于快速构建Web应用程序。OAuth是一种开放标准，用于安全地授权访问资源，通常用于身份验证。结合Django和OAuth，您可以构建安全和可扩展的用户身份验证和授权系统。
创建应用和注册应用
要创建一个Django应用，您可以使用以下命令：
python manage.py startapp oauth
然后，在项目的settings.py文件中，将应用注册到INSTALLED_APPS列表中，如下所示：
INSTALLED_APPS = [
'django.contrib.admin',
'django.contrib.auth',
'django.contrib.contenttypes',
'django.contrib.sessions',
'django.contrib.messages',
'django.contrib.staticfiles',
'rest_framework',
'drf_yasg2',
'django_filters',
'account.apps.AccountConfig',
'oauth'
]
身份验证服务
创建自定义身份验证服务
#!/usr/bin/python
# -*- coding: utf-8 -*-
from django.contrib.auth import get_user_model
from django.contrib.auth.backends import ModelBackend
from django.core.cache import cache
from django.db.models import Q
from django.http import Http404
from django.shortcuts import get_object_or_404
from django.utils import timezone
from rest_framework import exceptions
from rest_framework.authentication import TokenAuthentication as BaseTokenAuthentication
User = get_user_model()
def get_ip(request):
"""获取当前请求ip
:param request: 当前请求上下文
:return: ip地址
"""
x_forwarded_for = request.META.get('HTTP_X_FORWARDED_FOR')
if x_forwarded_for:
ip = x_forwarded_for.split(',')[0]
else:
ip = request.META.get('REMOTE_ADDR')
return ip
class EmailOrUsernameModelBackend(ModelBackend):
"""自定义用户验证
允许用户使用用户名或者邮箱登录
允许使用密码或者邮箱验证码校验
"""
def authenticate(self, request, username=None, password=None, login_type='account', **kwargs):
try:
user = User.objects.get(Q(username=username) | Q(email=username), is_active=True)
if login_type == 'account' and user.check_password(password):
user.last_login = timezone.now()
user.last_login_ip = get_ip(request)
user.save()
return user
else:
# 邮箱验证码校验
code = cache.get('account:email:{0}:login:code'.format(user.email))
if password == code:
return user
return None
except User.DoesNotExist:
return None
class TokenAuthentication(BaseTokenAuthentication):
"""token认证"""
keyword = 'bearer'
def authenticate_credentials(self, key):
token_user_cache_key = f'oauth:token:{key}:user:id'
if cache.ttl(token_user_cache_key) == 0:
raise exceptions.AuthenticationFailed('token无效')
try:
user_id = cache.get(token_user_cache_key)
user_token_cache_key = f'oauth:user:id:{user_id}:token'
if cache.ttl(user_token_cache_key) != 0 and cache.get(user_token_cache_key) == key:
user = get_object_or_404(User, id=user_id, is_active=True)
return user, key
raise exceptions.AuthenticationFailed('token错误')
except Http404:
raise exceptions.AuthenticationFailed('token无效')
在自定义身份验证服务中，我们创建了EmailOrUsernameModelBackend和TokenAuthentication类，以改进用户身份验证和安全性。EmailOrUsernameModelBackend允许用户使用用户名或邮箱登录，还支持邮箱验证码校验。TokenAuthentication用于验证用户的令牌。这些自定义服务增强了用户身份验证的功能和灵活性。
配置`AUTHENTICATION_BACKENDS
为了使用我们的自定义身份验证服务，我们需要配置AUTHENTICATION_BACKENDS，如下所示：
AUTHENTICATION_BACKENDS = (
'oauth.authentication.EmailOrUsernameModelBackend',
)
创建视图
登录表单
#!/usr/bin/python
# -*- coding: utf-8 -*-
from django.contrib.auth.forms import AuthenticationForm
from django.forms import widgets
class LoginForm(AuthenticationForm):
"""登录表单"""
def __init__(self, *args, **kwargs):
super(LoginForm, self).__init__(*args, **kwargs)
self.fields['username'].widget = widgets.TextInput(attrs={
'id': 'username',
'class': 'form-control',
'aria-errormessage': 'usernameError',
'placeholder': '用户名'
})
self.fields['password'].widget = widgets.PasswordInput(attrs={
'id': 'password',
'class': 'form-control',
'aria-errormessage': 'passwordError',
'placeholder': '密码'
})
登录视图
class LoginView(FormView):
"""登录视图"""
form_class = LoginForm
template_name = 'oauth/login.html'
@method_decorator(sensitive_post_parameters('password'))
@method_decorator(csrf_protect)
@method_decorator(never_cache)
def dispatch(self, request, *args, **kwargs):
return super(LoginView, self).dispatch(request, *args, **kwargs)
def get_context_data(self, **kwargs):
kwargs['redirect_to'] = get_redirect_uri(self.request)
return super(LoginView, self).get_context_data(**kwargs)
def post(self, request, *args, **kwargs):
form = LoginForm(data=self.request.POST, request=self.request)
if form.is_valid():
auth.login(self.request, form.get_user())
return super(LoginView, self).form_valid(form)
return self.render_to_response({
'form': form
})
def get_success_url(self):
authorize_uri = reverse('authorize', request=self.request, kwargs={
'authorize_type': 'account'
})
data = parse.urlencode({
'response_type': 'token',
'redirect_uri': get_redirect_uri(self.request)
})
return f'{authorize_uri}?{data}'
注销视图
class LogoutView(RedirectView):
"""退出登录"""
@method_decorator(never_cache)
def dispatch(self, request, *args, **kwargs):
return super(LogoutView, self).dispatch(request, *args, **kwargs)
def get(self, request, *args, **kwargs):
user = request.user
user_token_cache_key = f'oauth:user:id:{user.id}:token'
if cache.ttl(user_token_cache_key) != 0:
token = cache.get(user_token_cache_key)
cache.delete(user_token_cache_key)
token_user_cache_key = f'oauth:token:{token}:user:id'
if cache.ttl(token_user_cache_key) != 0:
cache.delete(token_user_cache_key)
logout(request)
return super(LogoutView, self).get(request, *args, **kwargs)
def get_redirect_url(self, *args, **kwargs):
return get_redirect_uri(self.request)
用户授权视图
class AuthorizeView(RedirectView):
"""用户授权"""
@method_decorator(never_cache)
def dispatch(self, request, *args, **kwargs):
return super(AuthorizeView, self).dispatch(request, *args, **kwargs)
def get_redirect_url(self, authorize_type, *args, **kwargs):
request = self.request
user = request.user
token = None
if authorize_type == 'account':
if user.is_authenticated:
token = generate_token()
token_user_cache_key = f'oauth:token:{token}:user:id'
user_token_cache_key = f'oauth:user:id:{user.id}:token'
cache.set(token_user_cache_key, user.id, timeout=60 * 60 * 24)
cache.set(user_token_cache_key, token, timeout=None)
if token:
data = parse.urlencode({
'access_token': token,
'token_type': 'bearer'
})
return f'{get_redirect_uri(request)}#{data}'
return reverse('login', request=request)
我们创建了登录表单、登录视图、注销视图和用户授权视图。这些视图提供了用户身份验证和授权的功能。登录表单具有定制的字段，登录视图支持密码和邮箱验证码校验，而注销视图用于用户退出登录。用户授权视图负责用户身份验证后的授权操作。
API视图获取当前登录用户信息
定义用户模型序列化器
#!/usr/bin/python
# -*- coding: utf-8 -*-
from django.contrib.auth import get_user_model
from rest_framework import serializers
User = get_user_model()
class UserSerializer(serializers.ModelSerializer):
"""用户模型列化"""
class Meta:
model = User
exclude = ('password',)
read_only_fields = ('avatar', 'last_login', 'last_login_ip', 'active')
定义视图
from django.shortcuts import render
from rest_framework import permissions
from rest_framework.generics import GenericAPIView
from CodeVoyager import mixins
from .serializers import UserSerializer
# Create your views here.
class UserProfileAPIView(mixins.UpdateModelMixin, mixins.RetrieveModelMixin, GenericAPIView):
"""用户信息api视图"""
permission_classes = (permissions.IsAuthenticated,)
serializer_class = UserSerializer
def get_object(self):
user = self.request.user
if user.is_anonymous or not user.is_authenticated:
return None
return self.request.user
def get(self, request, *args, **kwargs):
return self.retrieve(request, *args, **kwargs)
def put(self, request, *args, **kwargs):
return self.update(request, *args, **kwargs)
def patch(self, request, *args, **kwargs):
return self.partial_update(request, *args, **kwargs)
我们定义了API视图，用于获取当前登录用户的信息。这对于构建需要用户信息的应用程序非常有用。我们还提供了用户信息的序列化过程，以及如何使用API视图来检索和更新用户信息。
使用swagger测试
结语
用户身份验证和授权是任何Web应用程序的核心。通过结合Django和OAuth，您可以创建一个安全和可扩展的身份验证系统，满足不同项目的需求。希望本文能帮助您更好地理解和应用这些概念，从而构建强大的Web应用程序。
拓展和学习
如果您想进一步了解Django身份验证和OAuth，以下是一些有用的资源：
- Django官方文档: 深入了解Django框架的官方文档。
- OAuth 2.0官方文档: 了解OAuth 2.0标准的官方文档。
- Django REST framework: 用于构建RESTful API的Django库的官方网站。
通过这些资源，您可以进一步扩展您的知识和技能，以构建更复杂和安全的Web应用程序。