drf知识--11

补充

# 研究simple-jwt提供的Token类：

        1、RefreshToken:生成refresh token的类
        2、AccessToken:生成refresh token的类
        3、Token：他们俩的父类
        4、str(RefreshToken的对象)---得到字符串 refresh token，Token类写了 __str__
        5、str(RefreshToken的对象.access_token)---得到字符串 access token，Token类写了 __str__，RefreshToken类中access_token是方法被包装成了数据属性，返回值是AccessToken的对象
        6、RefreshToken，AccessToken的对象，都能点出 payload 荷载
        7、RefreshToken，AccessToken的对象，都能通过中括号取出荷载中得值

# 魔法方法之 . 操作：
   点拦截： __getattr__、__setattr__
   对象.name        当name不存在就会触发__getattr__执行
   对象.name='xxx'            触发__setattr__

# 魔法方法之 [ ] 操作：
    [ ] 拦截：__getitem__、__setitem__
    对象['name']           当name不存在  触发__getitem__执行
    对象['name']='xxx'                触发__setitem__

基于自定义表签发token

# 自定义表签发token步骤：

        1、快速签发和认证
        2、定制返回格式和认证
        3、自定义登录和认证，自定义表，自定义认证类

# 视图类：
from rest_framework.decorators import action
from rest_framework.viewsets import GenericViewSet
from rest_framework.response import Response
from .serializer import LoginSerializer

class UserView(GenericViewSet):
    serializer_class = LoginSerializer

    # 127.0.0.1:8000/api/v1/user/login/
    @action(methods=['POST'], detail=False)
    def login(self, request):
        ser = self.get_serializer(data=request.data)
        ser.is_valid(raise_exception=True)
        return Response(ser.validated_data)

# 序列化类：
from rest_framework import serializers
from .models import UserInfo
from rest_framework.exceptions import APIException
from rest_framework_simplejwt.tokens import RefreshToken

class LoginSerializer(serializers.Serializer):
    username = serializers.CharField()
    password = serializers.CharField()

    def validate(self, attrs):    # 只做校验
        username = attrs.get('username')
        password = attrs.get('password')
        user = UserInfo.objects.filter(username=username, password=password).first()
        if user:
            # 签发token,使用RefreshToken直接签发
            refresh = RefreshToken.for_user(user)
            return {
                'code': 100,
                'msg': '登录成功',
                'username': username,
                # 'icon':user.icon,
                'access': str(refresh.access_token),
                'refresh': str(refresh)
            }
        else:
            raise APIException({'code': 999, '101': '用户名或密码错误'})

# 表模型：
class UserInfo(models.Model):
    username = models.CharField(max_length=32)
    password = models.CharField(max_length=32)
    age = models.IntegerField()
    gender = models.IntegerField(choices=((1, '男'), (2, '女'), (0, '未知')))

# 总路由：
from django.contrib import admin
from django.urls import path,include

urlpatterns = [
    path('admin/', admin.site.urls),
    path('app/', include('app01.urls')),
]

# app01路由
from rest_framework.routers import SimpleRouter
from .views import UserView

router = SimpleRouter()
router.register('user', UserView, 'user')
urlpatterns = [
]
urlpatterns += router.urls

基于自定义表编写认证类

# 视图层：
from rest_framework.viewsets import GenericViewSet
from rest_framework.response import Response
from .auth import LoginAuthentication

class BookView(GenericViewSet):
    # 自定义用户表，使用JWTAuthentication无法完成验证，必须自定义认证类
    # authentication classes = [JWTAuthentication]
    # permission_classes = [IsAuthenticated]

    # 自定义用户表，使用自定义认证类
    authentication_classes = [LoginAuthentication]

    def list(self, request):
        print(request.user.username)
        return Response('好大一个家~')

# 认证类：
from rest_framework.authentication import BaseAuthentication
from rest_framework.exceptions import APIException
from rest_framework_simplejwt.tokens import AccessToken
from .models import UserInfo

class LoginAuthentication(BaseAuthentication):
    def authenticate(self, request):
        token = request.META.get('HTTP_TOKEN')  # 拿到token
        if token:
            # 验证token是否合法，是否过期，是否被篡改，伪造
            try:
                validated_token = AccessToken(token)
            except Exception as e:
                raise APIException({'code':101,'msg':str(e)})
            # 取出用户id，根据id查出用户并返回
            # validated_token.payload['user_id']
            # validated_token['user_id']
            user = UserInfo.objects.filter(pk=validated_token['user_id']).first()
            return user,token
        else:
            raise APIException({'code': 102, 'msg': 'token必须携带

模型层：
class Book(models.Model):
    name = models.CharField(max_length=32)
    price = models.IntegerField

权限控制

drf 中有权限控制：
1、acl权限控制：访问控制列表 Access Control List
    # 互联网，对外项目
    # 用户可以：           

user_id:1=[刷视频，评论，收藏，开直播]
user_id:2=[刷视频]

     # 权限类：根据当前登录用户，取出它所有权限，权限列表

                当前访问的比如是评论，如果有权限，返回True，没有权限，返回false
2、rabc权限控制 : 基于角色的访问控制 Role-Based Access Control
 # 公司内部项目，用户属于某个角色，角色跟权限有对应关系:
            *财务：张三、李四----发工资权限，扣工资权限
            *hr：  王铁锤、王五----招员工，开除员工
            *开发：张二蛋、李小红----看代码 开发代码，删除代码
            *总裁：zjq----查看公司财报
 # rbac表设计:
                用户表：用户和角色是    多对多
                角色表(部门，组)： 角色和权限  多对多
                权限表：用户和权限：多对多
       总共6 张表，表示基于角色的访问控制：rbac+acl
 # django的后台管理就是基于rbac控制---auth下有些表:                

auth_user：# 用户表
auth_group：# 组表(角色)
auth_permission：# 权限表
auth_group_permissions # 组和权限中间表
auth_user_groups # 用户和组 中间表
auth_user_user_permissions# 用户和权限多对多中间表

 # 演示rbac权限控制:
       创建一个超级用户 root  123456 对网站有所有权限
       创建一个用户[张三]，创建一个组[测试组1]，给测试组1加权限[book的增删查改]
       张三登录，发现张三有 测试组1的所有权限
       新增用户李四，没有任何组，登录后没有任何权限
       把李四放到 测试组1 ，有测试组1的所有权限：查看图书，修改图书，删除图书
        李四增加一个新增图书权限：
                    新增图书权限 加入到 测试组1  张三也有这个权限，不好
                    单独给李四增加一个 新增图书权限 
3、ABAC：Attribute-Based Access Control,基于属性的访问控制       
   # 公司内部项目，所有项目几乎都要有rbac权限
   # 基于django的admin做二次开发，美化页面，混合
   # django+vue，实现基于rbac的访问控制
                django：django-vue-admin
                go:gin-vue-admin
                java：若依

频率认证练习题

所有接口一分钟只能访问5次

任务管理系统练习题

需求:任务管理系统
1.创建一个表，包括任务标题(title) 、任务描述(description) 、任务截止日期(deadline) ，任务开始时间(stattime),任务状态(status)
2.写接口，允许用户列出所有任务、查看单个任务详情、创建新任务、更新现有任务和删除任务。
    -查询所有：
    -查询单条
    -创建一条
    -更新一条
    -删除一条
3.实现分页功能，每页显示10条任务记录,可以使用size控制再多显示，但是最多不超过20条
4.添加任务搜索功能，用户可以通过任务标题或任务描述搜索任务。
    -自定义
5.将任务状态分为"待办"、"进行中"和"已完成",用户可以根据任务状态筛选任务。
    -choice字段
    -过滤 status=2
    -使用djagno-filter
6 可以按任务开始时间排序
    -自定义，使用内置的
 
7 自定义用户表，token表：username，password，age，active，usertype字段字段
8 写个登录，如果是active是false不允许登录
9 任务查询所有和查询单条接口，不需要登录就能访问
10 创建，更新和删除，必须登录才能操作
10 任务创建和更新，普通用户就可以操作
11 任务删除功能，只能超级管理员操作
12 超级管理员能锁定和解锁用户
    post请求：127.0.0.1:8080/ap1/v1/users/1/lock
    请求中携带 {lock:true/false}

今日思维导图：