在当今的web应用程序开发中，安全性是至关重要的。Django REST framework (DRF) 是一个强大的工具，可以帮助我们快速构建RESTful API，而 djangorestframework-jwt 则为 DRF 提供了简单且有效的 JWT（JSON Web Token）认证机制。本文将为你详细介绍如何安装和使用 djangorestframework-jwt，包含基础用法和一些高级技巧，以便你能尽快上手。如果你在学习过程中有任何疑问，随时可以留言联系我哦！

JWT 是一种开放标准（RFC 7519），它定义了一种简洁的、自包含的方式，用于将信息安全地作为 JSON 对象在各方之间传递。djangorestframework-jwt 是一个 Django 应用程序，允许你添加基于 JWT 的认证功能到 DRF 中。通过使用 JWT，用户在登录后会收到一个令牌，这个令牌可以用于身份验证，简化了用户的登录体验。

在你的 Django 项目中使用以下命令来安装 djangorestframework-jwt：

pip install djangorestframework-jwt

在安装完成后，确保在 settings.py 文件中加入以下应用：

INSTALLED_APPS = [    ...    'rest_framework_jwt',]

在 settings.py 中进行如下配置来设置 JWT 的参数：

REST_FRAMEWORK = {    'DEFAULT_AUTHENTICATION_CLASSES': (        'rest_framework_jwt.authentication.JSONWebTokenAuthentication',        'rest_framework.authentication.SessionAuthentication',        'rest_framework.authentication.BasicAuthentication',    ),}JWT_AUTH = {    'JWT_SECRET_KEY': 'your_secret_key',  # 更换为你的安全秘钥    'JWT_GET_USER_SECRET_KEY': None,    'JWT_ENCODE_HANDLER': 'rest_framework_jwt.utils.jwt_encode_handler',    'JWT_DECODE_HANDLER': 'rest_framework_jwt.utils.jwt_decode_handler',    'JWT_PAYLOAD_HANDLER': 'rest_framework_jwt.utils.jwt_payload_handler',    'JWT_PAYLOAD_HANDLER': 'rest_framework_jwt.utils.jwt_payload_handler',    'JWT_EXPIRATION_DELTA': datetime.timedelta(days=7),  # 设置过期时间}

确保更改 'your_secret_key' 为您的实际密钥。

首先，确保你有一个用户模型。使用 Django 提供的默认用户模型或创建自己的用户模型。如果你使用的是默认用户模型，可以在 models.py 中添加如下代码：

from django.contrib.auth.models import AbstractUserfrom django.db import modelsclass CustomUser(AbstractUser):    # 可以添加额外的用户字段    pass

接下来，创建一个用于用户登录的视图。你可以使用 Django REST framework 提供的视图函数：

from rest_framework import permissionsfrom rest_framework.response import Responsefrom rest_framework.views import APIViewfrom rest_framework_jwt.settings import api_settings# 获取token的类视图class ObtainJSONWebToken(APIView):    permission_classes = [permissions.AllowAny]    def post(self, request, *args, **kwargs):        serializer = JWTSerializer(data=request.data)        serializer.is_valid(raise_exception=True)        user = serializer.validated_data['user']        payload = jwt_payload_handler(user)        token = jwt_encode_handler(payload)        return Response({'token': token})jwt_payload_handler = api_settings.JWT_PAYLOAD_HANDLERjwt_encode_handler = api_settings.JWT_ENCODE_HANDLER

在 urls.py 文件中添加以下行以注册视图：

from django.urls import pathfrom .views import ObtainJSONWebTokenurlpatterns = [    path('api-token-auth/', ObtainJSONWebToken.as_view(), name='api-token-auth'),]

现在，你可以使用 Postman 或其他工具测试登录 API。POST 请求到 YOUR_DOMAIN/api-token-auth/， 提交包含 username 和 password 的 JSON 数据：

{    "username": "your_username",    "password": "your_password"}

响应将返回一个包含 token 的 JSON 对象：

{    "token": "your_jwt_token_here"}

如果你的 token 过期了，如何处理呢？你可以在前端实现一个逻辑，监听 401 Unauthorized 错误，并引导用户去登录。这是一个良好的用户体验。

在处理权限时，确保在 API 视图中添加适当的权限类。你可以使用 DRF 的内置权限类，如 IsAuthenticated。

from rest_framework.permissions import IsAuthenticatedclass ProtectedView(APIView):    permission_classes = [IsAuthenticated]    def get(self, request):        content = {'message': 'You have access to this content!'}        return Response(content)

可以根据需要在 JWT 中添加自定义的属性。在 settings.py 的 JWT 配置中，可以自定义 JWT_PAYLOAD_HANDLER：

def jwt_payload_handler(user):    return {        'id': user.id,        'username': user.username,        'email': user.email,        'exp': datetime.datetime.utcnow() + datetime.timedelta(days=7),        'orig_iat': datetime.datetime.utcnow(),    }

实现 Token 刷新机制是增强安全性的一个好办法。可以创建一个视图，用户可以在 token 过期之前进行刷新：

class RefreshTokenView(APIView):    permission_classes = [IsAuthenticated]    def post(self, request):        payload = jwt_payload_handler(request.user)        token = jwt_encode_handler(payload)        return Response({'token': token})

通过本文，我们已深入了解了 djangorestframework-jwt 的安装、基础用法、高级技巧，以及如何处理常见问题。采用 JWT 认证机制不仅增强了 API 的安全性，还大大提升了用户体验。如果你对这一主题仍有疑问或想分享你的经验，欢迎在下方留言与我交流。我期待与你一起讨论更多有趣的技术话题！