简述 Django rest framework框架的认证流程？
参考回答
Django REST Framework（DRF）的认证流程大致可以分为以下几个步骤：
- 客户端发送请求：客户端发送带有身份认证信息的请求（如通过HTTP头部传递Token或Session Cookie）。
-
请求到达Django应用：请求到达Django应用后，DRF会通过
DEFAULT_AUTHENTICATION_CLASSES配置的认证类来进行身份验证。 -
身份验证类执行验证：DRF会检查请求中是否包含有效的认证信息。常见的认证类包括：
TokenAuthentication：检查请求头部中是否包含有效的Token（通常在请求头的Authorization字段中）。SessionAuthentication：检查请求是否包含有效的Session（通常由Django的默认Session机制提供）。BasicAuthentication：检查是否包含有效的基本认证凭据（用户名和密码）。
- 认证通过或失败：如果身份验证成功，DRF会将用户信息存储在
request.user中，并继续处理请求。如果认证失败，DRF会返回401 Unauthorized响应，提示认证失败。 -
权限检查：在认证通过后，DRF会继续检查用户的权限，确认用户是否有访问该资源的权限。权限控制通常由
DEFAULT_PERMISSION_CLASSES配置中的权限类实现，如IsAuthenticated、IsAdminUser等。 -
返回响应：当认证和权限检查都通过时，DRF会正常执行视图函数，并返回相应的响应。如果认证或权限检查失败，会返回适当的错误信息（如401 Unauthorized，403 Forbidden）。
详细讲解与拓展
1. 认证类的执行流程：
– TokenAuthentication：通过Token认证，客户端需要在请求头中发送一个格式为Authorization: Token <token>的字段，DRF会查找该Token对应的用户。如果Token有效，认证通过，用户信息存储在request.user中。如果无效，DRF会返回401 Unauthorized。
– SessionAuthentication：Django默认提供Session认证，用户通过登录后，Django会生成一个Session ID并存储在客户端的Cookie中。请求中会自动带上这个Cookie，DRF会根据Session ID验证用户身份。
– BasicAuthentication：客户端在请求头中发送Authorization: Basic <base64(username:password)>，DRF会解码并检查用户名和密码。如果匹配成功，认证通过。
2. 身份验证失败时的处理：
如果请求中没有有效的认证信息，DRF会默认返回401 Unauthorized响应，表示认证失败。在某些情况下，也可以通过自定义认证类来返回自定义的错误信息。
3. 权限控制（Permissions）：
认证通过后，DRF会继续检查用户是否有权限访问特定的API资源。权限检查通过权限类（如IsAuthenticated、IsAdminUser等）进行，权限类通过配置DEFAULT_PERMISSION_CLASSES来设置。
IsAuthenticated：要求用户已认证，未认证用户会收到403 Forbidden响应。IsAdminUser：要求用户是管理员，非管理员用户会收到403 Forbidden响应。AllowAny：任何用户都可以访问该资源。
4. 自定义认证：
DRF允许开发者自定义认证类，继承BaseAuthentication类，并实现authenticate方法。例如，开发者可以实现一个根据请求中的自定义Header进行认证的类。
5. 权限与认证的顺序：
认证和权限检查是两步不同的过程：
– 认证：确认请求用户的身份。
– 权限检查：确认该身份是否有权访问特定资源。
如果认证失败，权限检查将不会执行，因为用户尚未通过身份验证。
总结
Django REST Framework的认证流程包括接收请求、执行认证、检查权限以及返回响应。认证类负责验证用户身份，而权限类控制用户是否有权访问资源。常见的认证方式有Token认证、Session认证和基本认证。认证通过后，DRF会继续进行权限检查，确保只有具备适当权限的用户能够访问指定的API资源。通过认证与权限机制，DRF能够为API提供强大的安全控制。