了解 django-rest-framework 中的 SessionAuthentication？

Question

我正在使用 Django v1.8 和 django-rest-framework v3.2.2。我有一个带有面向公众的 API 的站点，它也被我自己的站点（在同一域上）作为 JavaScript 应用程序的 Ajax 后端使用，仅使用 GET。

我希望此 API 的公共用户被要求在 URL 中输入 key 参数，我将手动发出该参数。但我也希望我的 JavaScript 应用程序能够使用 API，这意味着其他用户不能只是窃取密钥并使用它。

我已经设置了我的自定义密钥身份验证as described here，并且运行良好。

但是，我不清楚 JavaScript 应用程序应该如何使用 API。显然我可以在 URL 中传递一个专用的 key 参数，但是其他用户就不能轻易地发现密钥并使用它吗？

我认为我需要 SessionAuthentication，但我什至如何开始进行这项工作？我看不到任何关于如何更改我的 JavaScript 调用以使用它的说明 in the DRF documentation。

我也不明白 SessionAuthentication 如何允许 Ajax 应用程序在其他用户无法查看和复制身份验证的情况下进行身份验证。

非常感谢您的任何建议。

Answer 1

我认为我需要 SessionAuthentication，但我什至如何开始进行这项工作？我在 DRF 文档中看不到任何关于如何更改我的 JavaScript 调用以使用它的说明。

SessionAuthentication 是 Django 的。它使用会话来验证用户。由于浏览器会自动发送 cookie，因此对于 ajax 请求来说它几乎是透明的。但是，如果您要发布数据，则需要确保在标头和帖子正文中都发送 CSRF 令牌。

我也不明白 SessionAuthentication 如何允许 Ajax 应用程序在其他用户无法查看和复制身份验证的情况下进行身份验证。

如上所述，它为此使用 cookie。它们是标题的一部分，因此通常不会出现在 url 上。 为了确保没有其他人可以窃取用户的会话，您需要通过 https 运行该站点。 这与普通网站没有太大区别。