与 Django Rest Framework 的非用户连接的自定义身份验证

Posted 2023-02-24

【中文标题】与 Django Rest Framework 的非用户连接的自定义身份验证

【英文标题】：Custom Authentication for non-user connection with Django Rest Framework

【发布时间】：2015-09-10 00:06:41

【问题描述】：

我已使用 TokenAuthentication 通过 DRF 启用用户身份验证

REST_FRAMEWORK = 
    'DEFAULT_AUTHENTICATION_CLASSES': (
         'rest_framework.authentication.TokenAuthentication',
         'rest_framework.authentication.SessionAuthentication'
    ),
    'DEFAULT_MODEL_SERIALIZER_CLASS':
        'rest_framework.serializers.ModelSerializer',
    'DEFAULT_PERMISSION_CLASSES': (
        'rest_framework.permissions.AllowAny',
    ),
    #'EXCEPTION_HANDLER': 'apps.core.exceptions.custom_exception_handler'

我有以下型号：

class Device(CreationModificationMixin):
    """
    Contains devices (WW controllers).  A device may be associated with the Owner
    """
    _STATUSES = (
        ('A', 'Active'), # when everything is okay
        ('I', 'Inactive'), # when we got nothing from SPA controllers for X minutes
        ('F', 'Failure'), # when controller says it has issues
    )

    _TYPES = (
        ('S', 'Spa'),
        ('P', 'Pool'),
    )

    udid    = models.CharField(max_length=255, verbose_name="Unique ID / MAC Address", help_text="MAC Address of WiFi controller", unique=True, null=False, blank=False, db_index=True)
    type    = models.CharField(max_length=1, choices=_TYPES, null=False, blank=False)
    title   = models.CharField(max_length=255, null=False, blank=False, db_index=True)
    status  = models.CharField(max_length=1, default='A', choices=_STATUSES)
    pinged  = models.DateTimeField(null=True)
    owner   = models.ForeignKey(Owner, verbose_name="Owner", null=True, blank=True, db_index=True)

    def __str__(self):
        return self.udid

这表示将向 API 端点发送离散请求的硬件设备，因此我需要对每个请求进行身份验证，最好使用基于令牌的标识，例如

POST /api/devices/login 

   udid: '...mac address...',
   hash: '...sha256...hash string',
   time: '2015-01-01 12:24:30'

哈希将在设备端计算为 sha256(salt + udid + current_time) 将在 /login 内部的 DRF 端计算相同的哈希值，以比较并生成将保存在 REDIS 中并返回响应的令牌。

所有未来的请求都会将此令牌作为标头传递，这将在自定义 Permission 类中进行检查。

我的问题：

我想为请求类设置一个自定义属性，例如 request.device, request.device.is_authenticated()

我应该把这个功能放在哪里？

您发现我的方法有问题吗？也许是改进的建议？

【问题讨论】：

这是 this question 的副本，但我目前没有标记。

【参考方案1】：

正如@daniel-van-flymen 指出的那样，返回设备而不是用户可能不是一个好主意。所以我所做的是创建一个扩展django.contrib.auth.models.AnonymousUser 的DeviceUser 类，并在我的自定义身份验证中返回它（毕竟设备本质上是匿名用户）。

from myapp.models import Device
from rest_framework import authentication 
from django.contrib.auth.models import AnonymousUser 
from rest_framework.exceptions import AuthenticationFailed 

class DeviceUser(AnonymousUser):

    def __init__(self, device):
        self.device = device 

    @property 
    def is_authenticated(self):
        return True 


class DeviceAuthentication(authentication.BaseAuthentication):

    def authenticate(self, request):
        udid = request.META.get("HTTP_X_UDID", None)
        if not udid:
            return None 

        try:
            device = Device.objects.get(udid=udid)
        except Device.DoesNotExist:
            raise AuthenticationFailed("Invalid UDID")

        if not device.active:
            raise AuthenticationFailed("Device is inactive or deleted")

        request.device = device 
        return (DeviceUser(device), None)

此代码位于myapp.authentication，然后您可以将以下内容添加到您的设置中：

REST_FRAMEWORK = 
    "DEFAULT_AUTHENTICATION_CLASSES": (
        "myapp.authentication.DeviceAuthentication", 
    )

您原始规范中的一些注释：我已修改身份验证器中的请求以包含设备，因此您可以执行request.device.is_authenticated；但是，用户将是DeviceUser，因此您也可以执行request.user.device.is_authenticated（只要您对device 属性进行适当的检查）。

您的原始规范也要求实现TokenAuthentication，并且可以将这个身份验证类子类化以更直接地使用它；为简单起见，我只是让设备在他们的请求中包含 X-UDID 标头。

还请注意，与令牌身份验证机制一样，您必须将此方法与 HTTPS 一起使用，否则 UDID 将以纯文本形式发送，从而允许某人冒充设备。

【参考方案2】：

您可以继承 DRF 的 BaseAuthentication 类并覆盖 .authenticate(self, request) 方法。 成功验证后，此函数应返回（设备，无）。这将在 request.user 属性中设置设备对象。 您可以在您的设备模型类中实现 is_authenticated()。

class APICustomAuthentication(BaseAuthentication):
    ---
    def  authenticate(self, request):
        ----
        return (device, None)    # on successful authentication

将 APICustomAuthentication 添加到“DEFAULT_AUTHENTICATION_CLASSES” 在设置中。

更多详情可here

【讨论】：

这不是一个好主意，因为如果您返回 device，那么 request.user 在您的上下文中将是 device。