Django REST framework安全实践：轻松实现认证、权限与限流功能 ...

系列文章目录

   

• Django入门全攻略：从零搭建你的第一个Web项目
  
• Django ORM入门指南：从概念到实践，掌握模型创建、迁移与视图操作
  
• Django ORM实战：模型字段与元选项配置，以及链式过滤与QF查询详解
  
• Django ORM深度游：探索多对一、一对一与多对多数据关系的奥秘与实践
  
• 跨域问题与Django办理方案：深入剖析跨域原理、哀求处置惩罚与CSRF防护
  
• Django视图层探索：GET/POST哀求处置惩罚、参数通报与响应方式详解
  
• Django路由与会话深度探索：静态、动态路由分发，以及Cookie与Session的奥秘
  
• Django API开辟实战：前后端分离、Restful风格与DRF序列化器详解
  
• Django REST framework序列化器详解：普通序列化器与模型序列化器的选择与运用
  
• Django REST framework关联序列化器详解：掌握复杂关系的序列化与反序列化艺术
  
• Django REST framework中GenericAPIView与混入扩展类详解
  
• Django REST framework视图集与路由详解：深入理解ViewSet、ModelViewSet与路由映射器
  
• Django中心件探索：揭秘中心件在Web应用中的守护脚色与实战应用
  
• Django REST framework数据展示技巧：分页、过滤与搜索的实用配置与实践
  
• Django REST framework安全实践：轻松实现认证、权限与限流功能
  
• 努力学习0.0ing…
  

  

---

  

---

媒介

    在本文中，我们将深入探讨Django REST framework中的三大核心组件：认证、权限与限流。首先，我们将揭示认证在掩护API访问权限、验证用户身份方面的关键作用，并介绍怎样在Django REST framework中配置和使用差别的认证方案。接着，我们将探讨权限控制，学习怎样限定差别用户对API资源的访问，确保敏感数据的安全。最后，我们将讨论限流技术，了解怎样通过限定哀求频率来防止API被滥用，保障服务的稳定性和可用性。

---

一、认证

   Django 自带一个用户验证体系。它负责处置惩罚用户账号、组、权限和基于cookie的用户会话。
Django 验证体系处置惩罚验证和授权。简朴来说，验证检验用户是否是他们的用户，授权决定已验证用户能做什么。
    认证体系由以下部分组成：
  

• 用户
  
• 权限：二进制（是/否）标识指定用户是否可以执行特定任务。
  
• 组：将标签和权限应用于多个用户的一般方法。
  
• 可配置的密码哈希化体系
  
• 为登任命户或限定内容提供表单和视图工具
  
• 可插拔的后端体系
  

    Django 里的验证体系旨在通用化，不提供一些常见的 web 验证体系的特性。其中一些常见问题的办理方案已在第三方包中实现。
  

• 密码强度查抄
  
• 限定登录尝试
  
• 针对第三方的身份验证（比方OAuth）
  
• 对象级权限
  

    可以在配置文件中配置全局默认的认证方案,认证需要和权限一起使用

1. #settings.py
2. REST_FRAMEWORK = {
3. 'DEFAULT_AUTHENTICATION_CLASSES':(
5.         #基本认证
6.        'rest_framework.authentication.BasicAuthentication',
7.                 # session认证
8.        'rest_framework.authentication.SessionAuthentication',
9.     ),
10. )

复制代码

  认证失败会有两种可能的返回值：
  

• 401 Unauthorized 未认证
  
• 403 Permission Denied 权限被克制
  

  二、权限

   权限控制 可以限定用户对于视图的访问和对于具体数据对象的访问。

在执行视图的dispatch()方法前，会先举行视图访问权限的判定。在通过get_object()获取具体对象时，会举行对象访问权限的判定
    可以在配置文件中设置默认的权限管理类，如：

1. REST_FRAMEWORK = {
2. 'DEFAULT_PERMISSION_CLASSES': (
3.         'rest_framework.permissions.IsAuthenticated',
4.     )
5. }

复制代码

  如果未指明，则采用如下默认配置：

1. REST_FRAMEWORK = {
2. 'DEFAULT PERMISSION CLASSES' : (
3.         'rest _framework.permissions.ALLowAny'
4.         )
5. }

复制代码

  提供的权限：
  

• AllowAny 允许全部效户
  
• IsAuthenticated 仅通过认证的用户
  
• IsAdminUser 仅管理员用户
  
• IsAuthenticatedOrReadOnly 认证的用户可以完全操作，否则只能get读取
  

  

---

三、限流

   限流与权限类似，因为它确定是否应该授权哀求。 限流阀 指示了一种临时状态，并用于控制客户端可以对API举行的哀求速率。
  1. 匿名用户全范围流

   可以对接口访问的频次举行限定，以减轻服务器压力。特殊是限定爬虫的抓取。
    在配置文件中，使用DEFAULT_THROTTLE_CLASSES 和 DEFAULT_THROTTLE_RATES举行全局配置：

1.   REST_FRAMEWORK = {
2.       'DEFAULT_THROTTLE_CLASSES': (
3.           # 限制所有匿名未认证用户，使用IP区分用户
4.           'rest_framework.throttling.AnonRateThrottle',
5.           #认证用户的限流
6.           'rest_framework.throttling.UserRateThrottle',
7.       ),
8.       'DEFAULT_THROTTLE_RATES': {
9.           # 可以使用 second, minute, hour 或day来指明周期
10.           'anon': '3/minute',
11.           'user': '5/minute'
12.       }
13.   }

复制代码

2. 匿名用户局部限流

   视图中使用throttle_classes属性设置限流用户类型

1.   from rest_framework.generics import ListAPIView
2.   from serializer import UserSerializer, User
3.   
4.   from rest_framework.throttling import AnonRateThrottle
8.   class UserView(ListAPIView):
9.       queryset = User.objects.all()
10.       serializer_class = UserSerializer
11.       throttle_classes = [AnonRateThrottle]  
12.       # 指明针对匿名用户进行限流，限流频率全局配置

复制代码

  在项目配置文件中针对用户类型设置具体频率：

1.   REST_FRAMEWORK = {
2.       'DEFAULT_THROTTLE_RATES': {
3.           # 可以使用 second, minute, hour 或day来指明周期
4.           'anon': '3/minute',
5.           'user': '5/minute'
6.       }
7.   }

复制代码

四、认证、权限、限流全局配置示例

1. # settings.py
2. # 认证，权限，限流
3. REST_FRAMEWORK = {
4.     'DEFAULT_AUTHENTICATION_CLASSES':(
5.         #基本认证
6.         'rest_framework.authentication.BasicAuthentication',
8.         # session认证
9.         'rest_framework.authentication.SessionAuthentication',
10.     ),
11.     'DEFAULT_PERMISSION_CLASSES': (
12.         'rest_framework.permissions.IsAuthenticated',
13.     ),
14.     'DEFAULT_THROTTLE_CLASSES': (
15.           # 限制所有匿名未认证用户，使用IP区分用户
16.           'rest_framework.throttling.AnonRateThrottle',
17.           #认证用户的限流
18.           'rest_framework.throttling.UserRateThrottle',
19.     ),
20.     'DEFAULT_THROTTLE_RATES': {
21.           # 可以使用 second, minute, hour 或day来指明周期
22.           'anon': '3/minute',
23.           'user': '5/minute'
24.     }
26. }

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。