python - 我应该在 Django Rest Framework 中使用 JWT 还是 Basic Token 身份验证？

Question

我即将使用 Django Rest Framework 在我的 API 中实现 token 身份验证。 但我不确定是否应该使用基本 token 内置 DRF 或使用 JSON Web token (JWT) 标准(使用此包 djangorestframework-jwt) 我发现的唯一引用资料是在 DRF 文档中:

Unlike the built-in TokenAuthentication scheme, JWT Authentication doesn't need to use a database to validate a token.

还有其他区别、优点或缺点需要考虑吗？

注意:该 API 将通过网站(使用 angularjs)和移动应用程序访问

Answer 1

无论平台如何，使用 JWT token 都有很多好处。 JWT token base64 将所有用户声明编码在其正文中，并且可以在客户端安全地解码为有状态对象。与为客户端应用程序提供零使用的替代不透明 token 相比，这是非常有益的。登录后，您会立即在客户端中获得原子数据，而无需额外往返 API 来轮询用户信息。

JWT token 是无状态的:无需在服务器端存储或跟踪它们，这在许多服务器上具有更高的水平可扩展性。它们是安全的，因为用于授予它们的私有(private)签名 key 存储在服务器端，任何带有它们的入站 API 调用都只需使用私有(private) key 进行验证，保证它们是由您的 Authorization API 颁发的。

JWT token 在 Angular、React 和任何其他客户端框架中都能很好地工作。因为它们是 JSON，您可以在客户端中对它们进行 base64 解码并将客户端 UI 元素直接绑定(bind)到您的声明 - 拥有管理员声明的人可以看到管理菜单，而没有该声明的用户永远不会知道如果正确实现，菜单存在。

除此之外，JWT token 的行为方式仍与任何不记名 token 相同:

• 由授权 API 颁发
• 由客户端存储在 cookie 或本地存储中
• 在 Authorization header 中传递给资源 API

总之，如果您实现 JWT token ，您将在客户端和服务器之间来回的 N+1 次往返次数减少，扩展工作量也将减少。