day76

2020-01-01 23:00:37 阅读：261 来源： 互联网

三大认证

用户权限管理表

用户权限关系 RBAC(Role-BasedAccessControl)
表：User、Group、Permission、UG关系表、UP关系表、GP关系表
传统的RBAC有两种：权限三表 => 权限五表（没有UP关系表）
Django中Auth组件采用的是 权限六表（在传统RBAC基础上增加UP关系表）

了解：基于Auth的权限管理认证模块（ThinkPHP）

重点：用户管理表，一定要在第一次数据库迁移时完成

　　RBAC:

　　RABC三表：

自定义User表后台管理

from django.db import models

# from django.contrib.auth.models import User

# 用户权限关系 RBAC(Role-BasedAccessControl)
# 表：User、Group、Permission、UG关系表、UP关系表、GP关系表
# 传统的RBAC有两种：权限三表 => 权限五表（没有UP关系表）
# Django中Auth组件采用的是 权限六表（在传统RBAC基础上增加UP关系表）

# 了解：基于Auth的权限管理认证模块（ThinkPHP）

# 重点：用户管理表，一定要在第一次数据库迁移时完成

# 自定义User表
from django.contrib.auth.models import AbstractUser
class User(AbstractUser):
    mobile = models.CharField(max_length=11, verbose_name='电话号码', unique=True)

    class Meta:
        db_table = 'old_boy_user'
        verbose_name_plural = '用户表'

    def __str__(self):
        return self.username

注册用户表：

添加用户的页面：

用户列表展示页面：

jwt认证规则

jwt: json web token
优点：
1）数据库不需要存储token，所以服务器的 IO 操作会减少（没有IO写操作）
2）客户端存Token，服务器只存储签发与校验算法，执行效率高
3）签发与校验算法在多个服务器上可以直接统一，所以jwt认证规则下，服务器做集群非常便捷

突破点：
1）token必须要有多个部分组成，有能反解的部分，也要有不能反解的部分 - jwt采用的都是三段式
2）token中必须包含过期时间，保证token的安全性与时效性

jwt原理：
1）jwt由头.载荷.签名三部分组成
2）每一部分数据都是一个json字典，头和载荷采用 base64 可逆加密算法加密，签名采用 HS256 不可逆加密

内容：
1）头(基本信息)：可逆不可逆采用的加密算法、公司名称、项目组信息、开发者信息...
{
"company": "小女孩",
...
}
2）载荷(核心信息)：用户主键、用户账号、客户端设备信息、过期时间...
{
'pk': 1,
...
}
3）签名(安全信息)：头的加密结果、载荷的加密结果、服务器的安全码(盐)...
{
"header": "..."
...
}

签发算法：
1）头内容写死(可以为空{})：公司、项目组信息都是固定不变的
=> 将数据字典转化成json字符串，再将json字符串加密成base64字符串

2）载荷的内容：用户账号、客户端设备信息是由客户端提供，用户主键是客户端提供账号密码校验User表通过后才能确定，过期时间根据当前时间与配置的过期时间相结合产生
=> 将数据字典转化成json字符串，再将json字符串加密成base64字符串

3）签名的内容，先将头的加密结果，载荷的加密结果作为成员，再从服务器上拿安全码(不能让任何客户端知道)，也可以额外包含载荷的部分(用户信息，设备信息)
=> 将数据字典转化成json字符串，再将json字符串不可逆加密成HS256字符串

4）将三个字符串用 . 连接产生三段式token

校验算法：
1）从客户端提交的请求中拿到token，用 . 分割成三段（如果不是三段，非法）
2）头(第一段)可以不用解密
3）载荷(第二段)一定需要解密，先base64解密成json字符串，再转换成json字典数据
i）用户主键与用户账号查询User表确定用户是否存在
ii）设备信息用本次请求提交的设备信息比对，确定前后是否是同一设备，决定是否对用户做安全提示(eg：短信邮箱提示异地登录)（同样的安全保障还可以为IP、登录地点等）
iii）过期时间与当前时间比对，该token是否在有效时间内
4）签名(第三段)采用加密碰撞校验
i）将头、载荷加密字符串和数据库安全码形成json字典，转换成json字符串
ii）采用不可逆HS256加密形成加密字符串
iii）新的加密字符串与第三段签名碰撞比对，一致才能确保token是合法的

5）前方算法都通过后，载荷校验得到的User对象，就是该token代表的登录用户（Django项目一般都会把登录用户存放在request.user中）

jwt刷新算法讲解

刷新算法：
1）要在签发token的载荷中，额外添加两个时间信息：第一次签发token的时间，最多往后刷新的有效时间
2）每一请求携带token，不仅走校验算法验证token是否合法，还要额外请求刷新token的接口，完成token的刷新：校验规则与校验算法差不多，但是要将过期时间后移(没有超过有效时间，产生新token给客户端，如果超过了，刷新失败)
3）所以服务器不仅要配置过期时间，还需要配置最长刷新时间

drf-jwt插件

安装:pip install djangorestframework-jwt

# drf-jwt自定义配置
import datetime
JWT_AUTH = {
    # 过期时间
    'JWT_EXPIRATION_DELTA': datetime.timedelta(seconds=300),
    # 是否允许刷新
    'JWT_ALLOW_REFRESH': True,
    # 最大刷新的过期时间
    'JWT_REFRESH_EXPIRATION_DELTA': datetime.timedelta(days=7),
}

标签：加密,jwt,json,用户,token,day76,字符串
来源： https://www.cnblogs.com/fjn839199790/p/12130876.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。