大家都知道http协议是无状态的，每次发送请求他们怎么知道我们是不是登录过呢？我们可以在用户登录之后给用户一个“暗号”，下次请求的时候带着这个“暗号”来。我们拿自己存的和携带过来的进行对比，如果一样，就可以认为是登录过的。
先来创建一张用户表
class User(models.Model): name = models.CharField(max_length=32) pwd = models.CharField(max_length=32) token = models.UUIDField(null=True, blank=True) # 随机字符串
在进行数据库的迁移，在数据库里添加几条数据。
接下来就可以写我们的认证了，新建个py文件，写入如下内容，假设前端妹子给我们传来的token是在url里
from .models import User from rest_framework.exceptions import AuthenticationFailed from rest_framework.authentication import BaseAuthentication class MyAuth(BaseAuthentication): def authenticate(self, request): # 必须是这个函数名 # 拿到前端传来的token，判断token是否存在 token = request.query_params.get(‘token‘, ‘‘) if not token: raise AuthenticationFailed("缺少token") user_obj = User.objects.filter(token=token).first() if not user_obj: raise AuthenticationFailed("token不合法") return (user_obj, token)
from rest_framework.authentication import BaseAuthentication from rest_framework.exceptions import AuthenticationFailed from course.models import Account from django.utils.timezone import now # 要用django提供的时间 class MyAuth(BaseAuthentication): def authenticate(self, request): if request.method == ‘OPTIONS‘: #过滤掉options请求 return None # 拿到前端传来的token，请求头的数据都在request.META里 # 比如前端把token放在请求头里：authenticate：85ada55664sfqq6 # django会在前面加上 HTTP_ 并转为大写，也就是 HTTP_AUTHENTICATE # print(request.META) token = request.META.get(‘HTTP_AUTHENTICATE‘, ‘‘) # 判断是否有这个token if not token: raise AuthenticationFailed({"code": 1020, "error": "没有token"}) user_obj = Account.objects.filter(token=token).first() if not user_obj: raise AuthenticationFailed({"code": 1021, "error": "token不合法"}) # 判断token是否过期 old_time = user_obj.create_token_time # 数据库里存的token的时间 now_time = now() # 用django提供获取时间的方法 if (now_time - old_time).days > 7: raise AuthenticationFailed({"code": 1022, "error": "token已过期，请重新登录"}) return (user_obj, token)
写个视图测试
class TestView(APIView): # 添加认证 authentication_classes = [MyAuth,] # 必须为可迭代对象 def get(self, request): return Response(‘认证‘)
这样只是个一个方法添加了认证，也可以添加全局的认证，在settings.py文件里
REST_FRAMEWORK = { # 默认使用的版本控制类 ‘DEFAULT_VERSIONING_CLASS‘: ‘rest_framework.versioning.URLPathVersioning‘, # 允许的版本 ‘ALLOWED_VERSIONS‘: [‘v1‘, ‘v2‘], # 版本使用的参数名称 ‘VERSION_PARAM‘: ‘version‘, # 默认使用的版本 ‘DEFAULT_VERSION‘: ‘v1‘, # 配置全局认证 ‘DEFAULT_AUTHENTICATION_CLASSES‘: ["BRQP.utils.MyAuth", ] }
我们都看过app上的电影，vip可以看一些视频，不是vip就看不了。因为vip的权限比非vip的权限大。那程序中的权限是什么样的呢？假设我们有一个系统，里面有添加学员，查看学员的功能。有些用户两个功能都有，而有些用户只有添加学员的功能。这里就要用到权限控制了。
在DRF的源码里，权限是在认证之后的。我们在执行权限的时候，认证已经执行结束了。
我们的权限类一定要有个has_permission方法，否则会抛出异常。
我们来写一个权限的demo。在上面的model类里给表在加一个type类，表示我们的权限。
from django.db import models class User(models.Model): name = models.CharField(max_length=32) pwd = models.CharField(max_length=32) token = models.UUIDField(null=True, blank=True) # 随机字符串 type = models.IntegerField(choices=((1, ‘普通用户‘), (2, ‘vip用户‘)), default=1) # 权限字段
在设置一个路由
from django.conf.urls import url ,include from .views import LoginView, TestView, TestPermission urlpatterns = [ url(r‘^login/‘, LoginView.as_view()), url(r‘^test/‘, TestView.as_view()), url(r‘^permission/‘, TestPermission.as_view()), # 权限路由 ]
然后我们去写我们的权限类，新建一个permission.py文件
class MyPermission(object): message = ‘权限不足‘ # 提示信息 def has_permission(self, request, view): # 必须这个名 # 权限逻辑，认证已经执行完了 user_obj = request.user # 因为认证已经执行完了，所以有request.user print(user_obj) if user_obj.type == 1: # 返回的是个布尔值 return False else: return True
在去写我们的测试视图
class TestPermission(APIView): authentication_classes = [MyAuth, ] # 认证 permission_classes = [MyPermission, ] # 权限 def get(self, request): return Response("恭喜你，你有访问权限")
当有权限时（type=2）
无权限时（type=1）
DRF也给我们提供了一些权限类，都在permission类里
from rest_framework import permissions
原文：https://www.cnblogs.com/zouzou-busy/p/11581084.html
