Django restframework Token拥有不过期的认证

REST框架中的Token认证不像Session认证一样，它是没有办法设置过期时间的，但是有时我们需要对Token做过期验证，比如说用户在A设备登陆之后获取一个Token，如果用户在没有清空浏览器缓存的情况下，Token将一直保存在缓存中，一周后在访问依旧有效，但我们并不希望这样，我们觉得Token认证应该和Session一样都有过期时间，过期之后作废。

1. 首先，看下TokenAuthentication模块的源码如下：

   class TokenAuthentication(BaseAuthentication): keyword = 'Token' model = None def get_model(self): if self.model is not None: return self.model from rest_framework.authtoken.models import Token return Token def authenticate(self, request): auth = get_authorization_header(request).split() if not auth or auth[0].lower() != self.keyword.lower().encode(): return None if len(auth) == 1: msg = _('Invalid token header. No credentials provided.') raise exceptions.AuthenticationFailed(msg) elif len(auth) > 2: msg = _('Invalid token header. Token string should not contain spaces.') raise exceptions.AuthenticationFailed(msg) try: token = auth[1].decode() except UnicodeError: msg = _('Invalid token header. Token string should not contain invalid characters.') raise exceptions.AuthenticationFailed(msg) return self.authenticate_credentials(token) def authenticate_credentials(self, key): # key=前端在请求头传过来的Token model = self.get_model() # 获取Token模块 try: token = model.objects.select_related('user').get(key=key) # 通过key获取Token except model.DoesNotExist: raise exceptions.AuthenticationFailed(_('Invalid token.')) # 如果没有就报错 if not token.user.is_active: raise exceptions.AuthenticationFailed(_('User inactive or deleted.')) # 如果用户没有激活也报错 return (token.user, token) def authenticate_header(self, request): return self.keyword # 然后把Token和登录的用户返回给View

上面有注解的地方是关键。 过期验证，就相当于多加一个判断，只要继承该类，然后重写authenticate_credentials方法即可。以下是我实现的例子，以expiringTokenAuthentication.py保存。

from rest_framework.authentication import TokenAuthentication from django.utils.translation import ugettext_lazy as _ from rest_framework import exceptions from django.utils import timezone from datetime import timedelta from django.conf import settings class ExpiringTokenAuthentication(TokenAuthentication): def authenticate_credentials(self, key): model = self.get_model() try: token = model.objects.select_related('user').get(key=key) except model.DoesNotExist: raise exceptions.AuthenticationFailed(_('Invalid token.')) if not token.user.is_active: raise exceptions.AuthenticationFailed(_('User inactive or deleted.')) if timezone.now() > (token.created + timedelta(DAYS)): # 重点就在这句了，这里做了一个Token过期的验证，如果当前的时间大于Token创建时间+DAYS天，那么久返回Token已经过期 raise exceptions.AuthenticationFailed(_('Token has expired')) return (token.user, token)

以此类推， 要对token进行类似的判断，都可以按上面的代码进行仿写。