Как создать Django REST API с токенной аутентификацией

Токенная аутентификация DRF

Токены обеспечивают безопасный доступ к API без передачи логина и пароля. Это стандартный способ аутентификации для мобильных приложений и SPA.

Настройка токенов в settings.py

INSTALLED_APPS = [
    'rest_framework',
    'rest_framework.authtoken',
]

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'rest_framework.authentication.TokenAuthentication',
    ],
    'DEFAULT_PERMISSION_CLASSES': [
        'rest_framework.permissions.IsAuthenticated',
    ]
}

Создание токенов

Есть несколько способов создать токены для пользователей:

1. Автоматическое создание при регистрации

from django.contrib.auth.models import User
from rest_framework.authtoken.models import Token

def create_user_with_token(username, email, password):
    user = User.objects.create_user(username=username, email=email, password=password)
    token, created = Token.objects.get_or_create(user=user)
    return user, token

2. Создание через Django shell

# В Django shell
from django.contrib.auth.models import User
from rest_framework.authtoken.models import Token

user = User.objects.get(username='admin')
token, created = Token.objects.get_or_create(user=user)
print(f"Token: {token.key}")

3. Создание через management command

# management/commands/create_tokens.py
from django.core.management.base import BaseCommand
from django.contrib.auth.models import User
from rest_framework.authtoken.models import Token

class Command(BaseCommand):
    help = 'Create tokens for all users'

    def handle(self, *args, **options):
        for user in User.objects.all():
            token, created = Token.objects.get_or_create(user=user)
            if created:
                self.stdout.write(f"Created token for {user.username}")
            else:
                self.stdout.write(f"Token already exists for {user.username}")

Защита API endpoints

Используй декораторы и миксины для защиты views:

Защита Class-Based Views

from rest_framework import generics
from rest_framework.permissions import IsAuthenticated
from rest_framework.authentication import TokenAuthentication

class UserProfileView(generics.RetrieveUpdateAPIView):
    authentication_classes = [TokenAuthentication]
    permission_classes = [IsAuthenticated]
    serializer_class = UserSerializer

    def get_object(self):
        return self.request.user

Защита Function-Based Views

from rest_framework.decorators import api_view, permission_classes, authentication_classes
from rest_framework.permissions import IsAuthenticated
from rest_framework.authentication import TokenAuthentication
from rest_framework.response import Response

@api_view(['GET'])
@authentication_classes([TokenAuthentication])
@permission_classes([IsAuthenticated])
def protected_view(request):
    return Response({
        'message': f'Привет, {request.user.username}!',
        'user_id': request.user.id
    })

Использование токенов в запросах

Токен передается в заголовке Authorization:

Пример с curl

curl -H "Authorization: Token 9944b09199c62bcf9418ad846dd0e4bbdfc6ee4b" \
    http://localhost:8000/api/profile/

Пример с Python requests

import requests

headers = {
    'Authorization': 'Token 9944b09199c62bcf9418ad846dd0e4bbdfc6ee4b'
}

response = requests.get('http://localhost:8000/api/profile/', headers=headers)
print(response.json())

Пример с JavaScript fetch

const token = '9944b09199c62bcf9418ad846dd0e4bbdfc6ee4b';

fetch('/api/profile/', {
    headers: {
        'Authorization': `Token ${token}`,
        'Content-Type': 'application/json'
    }
})
.then(response => response.json())
.then(data => console.log(data));

Создание API для получения токенов

Создай endpoint для аутентификации пользователей:

# views.py
from rest_framework import status
from rest_framework.decorators import api_view, permission_classes
from rest_framework.permissions import AllowAny
from rest_framework.response import Response
from rest_framework.authtoken.models import Token
from django.contrib.auth import authenticate
from django.views.decorators.csrf import csrf_exempt

@api_view(['POST'])
@permission_classes([AllowAny])
@csrf_exempt
def login_view(request):
    username = request.data.get('username')
    password = request.data.get('password')

    if username and password:
        user = authenticate(username=username, password=password)
        if user:
            token, created = Token.objects.get_or_create(user=user)
            return Response({
                'token': token.key,
                'user_id': user.id,
                'username': user.username
            })
        else:
            return Response({
                'error': 'Неверные учетные данные'
            }, status=status.HTTP_400_BAD_REQUEST)
    else:
        return Response({
            'error': 'Укажите username и password'
        }, status=status.HTTP_400_BAD_REQUEST)

URLs для токенной аутентификации

# urls.py
from django.urls import path
from . import views

urlpatterns = [
    path('api/login/', views.login_view, name='api_login'),
    path('api/profile/', views.UserProfileView.as_view(), name='api_profile'),
    path('api/protected/', views.protected_view, name='api_protected'),
]

Безопасность токенов

Важные моменты для безопасности:

1. Срок действия токенов

# settings.py
REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'rest_framework.authentication.TokenAuthentication',
    ],
    'TOKEN_EXPIRE_HOURS': 24 * 7,  # 7 дней
}

2. Удаление токенов при выходе

@api_view(['POST'])
@authentication_classes([TokenAuthentication])
@permission_classes([IsAuthenticated])
def logout_view(request):
    # Удаляем токен пользователя
    request.user.auth_token.delete()
    return Response({'message': 'Успешный выход'})

3. Проверка токенов в middleware

# middleware.py
from django.utils.deprecation import MiddlewareMixin
from rest_framework.authtoken.models import Token

class TokenValidationMiddleware(MiddlewareMixin):
    def process_request(self, request):
        auth_header = request.META.get('HTTP_AUTHORIZATION', '')
        if auth_header.startswith('Token '):
            token_key = auth_header.split(' ')[1]
            try:
                token = Token.objects.get(key=token_key)
                request.user = token.user
            except Token.DoesNotExist:
                request.user = None

Тестирование токенной аутентификации

# tests.py
  from django.test import TestCase
  from django.contrib.auth.models import User
  from rest_framework.test import APIClient
  from rest_framework.authtoken.models import Token

  class TokenAuthenticationTest(TestCase):
      def setUp(self):
          self.client = APIClient()
          self.user = User.objects.create_user(
              username='testuser',
              password='testpass123'
          )
          self.token = Token.objects.create(user=self.user)

      def test_protected_endpoint_with_token(self):
          self.client.credentials(HTTP_AUTHORIZATION=f'Token {self.token.key}')
          response = self.client.get('/api/profile/')
          self.assertEqual(response.status_code, 200)

      def test_protected_endpoint_without_token(self):
          response = self.client.get('/api/profile/')
          self.assertEqual(response.status_code, 401)

FAQ

Q: Как генерировать токены для пользователей?
A: Используй Token.objects.get_or_create(user=user) или создавай через админку. Можно автоматизировать через signals или management commands.

Q: Как долго действуют токены?
A: По умолчанию токены не имеют срока действия. Рекомендуется настроить автоматическое удаление старых токенов или использовать JWT токены.

Q: Можно ли использовать несколько токенов для одного пользователя?
A: По умолчанию DRF создает только один токен на пользователя. Для множественных токенов используй кастомную модель или JWT.

Q: Как безопасно передавать токены в frontend?
A: Храни токены в localStorage или sessionStorage, используй HTTPS, и реализуй механизм обновления токенов.

Q: Что делать если токен скомпрометирован?
A: Немедленно удали токен через Token.objects.filter(user=user).delete() и создай новый. Рассмотри использование JWT с коротким сроком действия.

Q: Как добавить дополнительную информацию в токен?
A: Расширь модель Token или используй связанные модели для хранения дополнительных данных пользователя.