Django restframework Token擁有不過期的認證

REST框架中的Token認證不像Session認證一樣，它是沒有辦法設置過期時間的，但是有時我們需要對Token做過期驗證，比如說用戶在A設備登陸之后獲取一個Token，如果用戶在沒有清空瀏覽器緩存的情況下，Token將一直保存在緩存中，一周后在訪問依舊有效，但我們並不希望這樣，我們覺得Token認證應該和Session一樣都有過期時間，過期之后作廢。

1. 首先，看下TokenAuthentication模塊的源碼如下：

   class TokenAuthentication(BaseAuthentication): keyword = 'Token' model = None def get_model(self): if self.model is not None: return self.model from rest_framework.authtoken.models import Token return Token def authenticate(self, request): auth = get_authorization_header(request).split() if not auth or auth[0].lower() != self.keyword.lower().encode(): return None if len(auth) == 1: msg = _('Invalid token header. No credentials provided.') raise exceptions.AuthenticationFailed(msg) elif len(auth) > 2: msg = _('Invalid token header. Token string should not contain spaces.') raise exceptions.AuthenticationFailed(msg) try: token = auth[1].decode() except UnicodeError: msg = _('Invalid token header. Token string should not contain invalid characters.') raise exceptions.AuthenticationFailed(msg) return self.authenticate_credentials(token) def authenticate_credentials(self, key): # key=前端在請求頭傳過來的Token model = self.get_model() # 獲取Token模塊 try: token = model.objects.select_related('user').get(key=key) # 通過key獲取Token except model.DoesNotExist: raise exceptions.AuthenticationFailed(_('Invalid token.')) # 如果沒有就報錯 if not token.user.is_active: raise exceptions.AuthenticationFailed(_('User inactive or deleted.')) # 如果用戶沒有激活也報錯 return (token.user, token) def authenticate_header(self, request): return self.keyword # 然后把Token和登錄的用戶返回給View

上面有注解的地方是關鍵。 過期驗證，就相當於多加一個判斷，只要繼承該類，然后重寫authenticate_credentials方法即可。以下是我實現的例子，以expiringTokenAuthentication.py保存。

from rest_framework.authentication import TokenAuthentication from django.utils.translation import ugettext_lazy as _ from rest_framework import exceptions from django.utils import timezone from datetime import timedelta from django.conf import settings class ExpiringTokenAuthentication(TokenAuthentication): def authenticate_credentials(self, key): model = self.get_model() try: token = model.objects.select_related('user').get(key=key) except model.DoesNotExist: raise exceptions.AuthenticationFailed(_('Invalid token.')) if not token.user.is_active: raise exceptions.AuthenticationFailed(_('User inactive or deleted.')) if timezone.now() > (token.created + timedelta(DAYS)): # 重點就在這句了，這里做了一個Token過期的驗證，如果當前的時間大於Token創建時間+DAYS天，那么久返回Token已經過期 raise exceptions.AuthenticationFailed(_('Token has expired')) return (token.user, token)

以此類推， 要對token進行類似的判斷，都可以按上面的代碼進行仿寫。