django-session-jwt 0.10.19

安装

此模块尊重 django.contrib.sessions 的设置，并提供额外的选项来控制 JWT。

pip install django-session-jwt

然后修改 settings.py

# Replace Django's SessionMiddleware
MIDDLEWARE = [
    ...
    # "django.contrib.sessions.middleware.SessionMiddleware",
    "django_session_jwt.middleware.SessionMiddleware",
    ...
]

SESSION_COOKIE_NAME='sessionid'

DJANGO_SESSION_JWT = {
    # Fields allow you to specify which attributes of the user object will be stored
    # in the JWT (and copied to the session).
    'FIELDS': [
        # You can provide all three options:
        ('attribute_name', 'short form', 'long form'),

        # Short and long forms can be the same by omitting one.
        ('attribute_name', 'both forms'),

        # The attribute_name can reference nested attributes by using period(s). also
        # the field can be a string, in which case the attribute name is used as both
        # the long and short forms.
        'related_object.attribute_name',
        ...
    ],

    # You can also populate the JWT fields by configuring your own callable. The
    # callable should return a dictionary. The function should optionally accept user.
    'CALLABLE': 'some.module.with.a.function',

    # KEY can also be a tuple in order to specify private and public keys.
    'KEY': 'string value or path to PEM key file',
    # 'KEY': (private_key_or_path, public_key_or_path),

    # The session field is used to store the session key within the JWT. The default
    # is 'sk' but it can be overridden.
    'SESSION_FIELD': 'sk',
    ...
}

作为一个优化，FIELDS 列表可以包含元组 ('attribute_name', 'short form', 'long form')，为字段提供一个简短名称。JWT 密钥将使用简短名称，但在解码时将转换为长名称。这有助于减小 JWT 的大小。

使用 JWT

默认情况下，JWT 将包含单个值 "sk"，并且比默认会话 cookie 稍大。这个应用的全部目的就是允许你向 JWT 添加其他字段，这些字段可以被运行在你的 Django 应用旁边的其他服务使用。

安装并配置后，浏览器将随每个请求发送会话 cookie。这个 cookie 将被验证，sk/会话密钥将用于在 Django 应用中设置 Django 会话。外部应用可以直接利用 JWT，因此你应该在 DJANGO_SESSION_JWT['FIELDS'] 列表/元组中定义任何“全局”字段。这样，存储在 Django 会话中的旧数据就不会污染 JWT，反之亦然。

你可以使用对称密钥或非对称密钥对。在 simplest case 中，你可以设置 DJANGO_SESSION_JWT['KEY'] = SECRET_KEY。然后你需要将 SECRET_KEY 分发给所有联邦服务。另一个选项是使用非对称密钥对，例如 RSA 密钥对。这样，Django 应用仅保留用于签署 JWT 的私钥，而联邦服务仅保留用于验证签名的公钥。混合配置可能将私钥与多个联邦服务共享，以用于发行或扩展 JWT，同时限制其他服务仅使用公钥。

未提供用于消费 JWT 的库，联邦服务应使用可用的 JWT 库来验证并提取 JWT 字段。

Django 测试

当在单元测试中使用 Django 的 test client 时，login() 方法绕过中间件并直接设置会话 cookie。如果你使用 django-session-jwt，这可能会导致测试失败。在这种情况下，你可以使用替代的测试客户端 django_session_jwt.test.Client，该客户端覆盖了 login() 方法，将 sessoin cookie 转换为 JWT。

下面是一个 使用此测试客户端的示例。

开发

要部署到 PyPI

git tag <version>
git push --tags

Travis CI 将完成剩余的工作。

测试和代码风格检查

make test
make lint