DRF Django Rest Auth如何使令牌过期或删除？

Question

DRF Django Rest Auth如何使令牌过期或删除？

djangoauthenticationdjango-rest-frameworkdjango-rest-auth

11

我正在尝试使用 tivix 的 django-rest-auth 和 django-rest-framework 实现身份验证（文档链接）。我像这样在 Django shell 中创建了一个用户：

from django.contrib.auth.models import User
user = User.objects.create_user(username='foo', email='foo@bar.com', password='bar')
user.save()

根据文档，我使用django-rest-auth登录用户，命令如下（终端操作）：

curl -X POST -d "username=foo&password=bar&email=foo@bar.com" http://127.0.0.1:8000/rest-auth/login/

它返回了一个令牌，我知道用户已通过身份验证。

现在我使用django-rest-auth文档中描述的方法进行了注销，但我仍然可以在数据库中看到令牌。然后我再次登录，它返回了同样的令牌作为密钥。

那么是否有任何方式可以使令牌更改或在用户注销时被删除？另外，在文档中没有提到令牌本身是否会在一定时间后过期（自动删除）。

如果不存在这样的功能，如何在两种情况下删除令牌？

编辑：登录和注销代码

urls.py（主文件）：

url(r'^rest-auth/', include('rest_auth.urls')),

settings.py：

INSTALLED_APPS = [
    ...
    'rest_framework',
    'rest_framework.authtoken',
    'rest_auth',
    ...
]

登录CURL命令：（如上所示）。登录命令响应：

{u'key': u'e41f0a1c2f5e55569df1c41d1d5d4efb77beddee'}

退出登录的 CURL 命令：

curl -X POST -d "key=e41f0a1c2f5e55569df1c41d1d5d4efb77beddee" http://127.0.0.1:8000/rest-auth/logout/

注销响应：

{u'success': u'Successfully logged out.'}

- Manish Gupta

你尝试过 user.auth_token.delete() 吗？ - Håken Lid

@HåkenLid，为此我必须访问用户对象。我直接在Angular应用程序中提供登录URL，因为它返回令牌，并且同样适用于注销。因此，它使用预定义视图的软件包。 - Manish Gupta

在注销时，您必须使用令牌进行身份验证。我不确定为什么权限是“AllowAny”，但看起来即使用户未登录，该视图也不会返回错误状态。https://github.com/Tivix/django-rest-auth/blob/v0.7.0/rest_auth/views.py#L55 - Håken Lid

@HåkenLid 我在发送注销POST请求时将令牌传递给数据。此外，我添加了登录和注销的URL和Curl请求。 - Manish Gupta

@HåkenLid 我也尝试过，但我仍然无法删除该令牌。 - Manish Gupta

显示剩余3条评论

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- varnothing · Accepted Answer

您需要登录以删除令牌。

这是 django-rest-auth 处理注销的方式（参考）：

def post(self, request):
    return self.logout(request)

def logout(self, request):
    try:
        request.user.auth_token.delete()
    except (AttributeError, ObjectDoesNotExist):
        pass

    logout(request)

    return Response({"success": _("Successfully logged out.")},
                    status=status.HTTP_200_OK)

因此，要退出登录：

curl -X POST -H "Authorization: Token <token>" http://127.0.0.1:8000/rest-auth/logout/

请注意，django-rest-auth支持基于会话和DRF令牌身份验证。

这里是有关DRF令牌身份验证及其使用方法的文档。

编辑

添加关于DRF令牌身份验证的信息。