REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'rest_framework.authentication.BasicAuthentication',
        'rest_framework.authentication.SessionAuthentication',
    ]
}

还可以使用APIView基于类的视图。

from rest_framework.authentication import SessionAuthentication, BasicAuthentication
from rest_framework.permissions import IsAuthenticated
from rest_framework.response import Response
from rest_framework.views import APIView

class ExampleView(APIView):
    authentication_classes = [SessionAuthentication, BasicAuthentication]
    permission_classes = [IsAuthenticated]

    def get(self, request, format=None):
        content = {
            'user': unicode(request.user),  # `django.contrib.auth.User` instance.
            'auth': unicode(request.auth),  # None
        }
        return Response(content)

或者，如果您使用的是@api_view具有基于功能的视图的装饰器。

@api_view(['GET'])
@authentication_classes([SessionAuthentication, BasicAuthentication])
@permission_classes([IsAuthenticated])
def example_view(request, format=None):
    content = {
        'user': unicode(request.user),  # `django.contrib.auth.User` instance.
        'auth': unicode(request.auth),  # None
    }
    return Response(content)

未经许可和禁止的反应

当未经身份验证的请求被拒绝权限时，可能会出现两个不同的错误代码。

HTTP 401响应必须始终包括WWW-Authenticate标头，指示客户端如何进行身份验证。http 403响应不包括WWW-Authenticate头球。

将使用的响应类型取决于身份验证方案。虽然可以使用多个认证方案，但只能使用一个方案来确定响应的类型。在确定响应类型时，将使用视图上的第一个身份验证类。.

注意，当请求可以成功地进行身份验证，但仍被拒绝执行请求的权限时，在这种情况下，403 Permission Denied无论身份验证方案如何，都将始终使用响应。

ApacheMOD_WSGI特定配置

注意，如果部署到Apache使用mod_wSGi默认情况下，授权头不会传递给WSGI应用程序，因为它假定身份验证将由Apache处理，而不是在应用程序级别处理。

如果您正在部署到Apache，并且使用任何基于非会话的身份验证，则需要显式配置mod_wSGi以将所需的标头传递给应用程序。这可以通过指定WSGIPassAuthorization指令，并将其设置为'On'.

# this can go in either server config, virtual host, directory or .htaccess
WSGIPassAuthorization On

API参考

基本认证

此身份验证方案使用HTTP基本身份验证，根据用户的用户名和密码签名。基本身份验证通常只适用于测试。

如果鉴定成功，基本认证提供下列凭据。

request.user将是一个DjangoUser举个例子。
request.auth将是None.

被拒绝权限的未经身份验证的响应将导致HTTP 401 Unauthorized使用适当的WWW-身份验证头进行响应。例如：

WWW-Authenticate: Basic realm="api"

注：如果你用基本认证在生产中，必须确保api只在https...您还应该确保您的API客户端在登录时总是重新请求用户名和密码，并且永远不会将这些细节存储到持久存储中。

托肯认证

此身份验证方案使用简单的基于令牌的HTTP身份验证方案。令牌身份验证适用于客户端服务器设置，例如本机桌面和移动客户端.

使用托肯认证你需要的计划配置身份验证类包括托肯认证，另外还包括rest_framework.authtoken在你的INSTALLED_APPS背景：

INSTALLED_APPS = [
    ...
    'rest_framework.authtoken'
]

注：确保跑manage.py migrate在改变你的设置之后。这个rest_framework.authtokenAPP提供Django数据库迁移。

您还需要为用户创建令牌。

from rest_framework.authtoken.models import Token

token = Token.objects.create(user=...)
print(token.key)

对于要进行身份验证的客户端，应该将令牌密钥包括在Authorizationhttp标头。键应该以字符串文字“Token”作为前缀，用空格分隔这两个字符串。例如：

Authorization: Token 9944b09199c62bcf9418ad846dd0e4bbdfc6ee4b

注：如果要在标题中使用不同的关键字，如Bearer，简单子类托肯认证并设置keyword类变量。

如果鉴定成功，托肯认证提供下列凭据。

request.user将是一个DjangoUser举个例子。
request.auth将是rest_framework.authtoken.models.Token举个例子。

被拒绝权限的未经身份验证的响应将导致HTTP 401 Unauthorized使用适当的WWW-身份验证头进行响应。例如：

WWW-Authenticate: Token

这个curl命令行工具对于测试令牌认证API可能很有用。例如：

curl -X GET http://127.0.0.1:8000/api/example/ -H 'Authorization: Token 9944b09199c62bcf9418ad846dd0e4bbdfc6ee4b'

注：如果你用托肯认证在生产中，必须确保api只在https.

生成令牌

用信号

如果希望每个用户都有一个自动生成的令牌，则只需捕获用户的令牌即可post_save信号。

from django.conf import settings
from django.db.models.signals import post_save
from django.dispatch import receiver
from rest_framework.authtoken.models import Token

@receiver(post_save, sender=settings.AUTH_USER_MODEL)
def create_auth_token(sender, instance=None, created=False, **kwargs):
    if created:
        Token.objects.create(user=instance)

请注意，您希望确保将此代码段放置在已安装的models.py模块，或由Django在启动时导入的其他位置。

如果已经创建了一些用户，则可以为所有现有用户生成令牌，如下所示：

from django.contrib.auth.models import User
from rest_framework.authtoken.models import Token

for user in User.objects.all():
    Token.objects.get_or_create(user=user)

通过公开API端点

使用时托肯认证，您可能希望为客户端提供一种机制，以便获得给定用户名和密码的令牌。REST框架提供了一个内置视图来提供这种行为。若要使用它，请添加obtain_auth_token查看您的URLCONF：

from rest_framework.authtoken import views
urlpatterns += [
    url(r'^api-token-auth/', views.obtain_auth_token)
]

请注意，模式的URL部分可以是您想要使用的任何部分。

这个obtain_auth_token视图将在有效时返回JSON响应username和password字段使用表单数据或JSON发布到视图：

{ 'token' : '9944b09199c62bcf9418ad846dd0e4bbdfc6ee4b' }

注意，默认的obtain_auth_token视图显式地使用JSON请求和响应，而不是在设置中使用默认呈现程序和解析器类。

默认情况下，不对obtain_auth_token视野。如果您确实希望应用节流，则需要重写视图类，并使用throttle_classes属性。

如果需要自定义版本的obtain_auth_token视图，则可以通过子类对ObtainAuthToken查看类，并在url conf中使用它。

例如，您可能会返回token价值：

from rest_framework.authtoken.views import ObtainAuthToken
from rest_framework.authtoken.models import Token
from rest_framework.response import Response

class CustomAuthToken(ObtainAuthToken):

    def post(self, request, *args, **kwargs):
        serializer = self.serializer_class(data=request.data,
                                           context={'request': request})
        serializer.is_valid(raise_exception=True)
        user = serializer.validated_data['user']
        token, created = Token.objects.get_or_create(user=user)
        return Response({
            'token': token.key,
            'user_id': user.pk,
            'email': user.email
        })

在你的urls.py:

urlpatterns += [
    url(r'^api-token-auth/', CustomAuthToken.as_view())
]

与Django管理

还可以通过管理界面手动创建令牌。如果您正在使用大型用户群，我们建议您对TokenAdmin类来自定义它以满足您的需要，更具体地说，通过声明user字段ASraw_field.

your_app/admin.py:

from rest_framework.authtoken.admin import TokenAdmin

TokenAdmin.raw_id_fields = ['user']

使用Django management e.py命令

由于版本3.6.4，可以使用以下命令生成用户令牌：

./manage.py drf_create_token <username>

此命令将返回给定用户的API令牌，如果它不存在，则创建它：

Generated token 9944b09199c62bcf9418ad846dd0e4bbdfc6ee4b for user user1

如果要重新生成令牌(例如，如果令牌已被破坏或泄漏)，则可以传递一个附加参数：

./manage.py drf_create_token -r <username>

专用认证

此身份验证方案使用Django的默认会话后端进行身份验证。会话身份验证适用于运行在与您的网站相同的会话上下文中的Ajax客户端。

如果鉴定成功，专用认证提供下列凭据。

request.user将是一个DjangoUser举个例子。
request.auth将是None.

被拒绝权限的未经身份验证的响应将导致HTTP 403 Forbidden回应。

如果使用AJAX风格的API和SessionAuthentication，则需要确保为任何“不安全”的HTTP方法调用包括一个有效的CSRF令牌，如PUT, PATCH, POST或DELETE请求。见Django CSRF文件更多细节。

警告：在创建登录页面时始终使用Django的标准登录视图。这将确保您的登录视图受到适当保护。

REST框架中的CSRF验证与标准Django略有不同，因为需要支持对相同视图的会话和非基于会话的身份验证。这意味着只有经过身份验证的请求才需要CSRF令牌，匿名请求可以在没有CSRF令牌的情况下发送。此行为不适用于登录视图，应该始终应用CSRF验证。

远程用户认证

此身份验证方案允许您将身份验证委托给web服务器，这将设置REMOTE_USER环境变量

要使用它，你必须django.contrib.auth.backends.RemoteUserBackend(或子类)AUTHENTICATION_BACKENDS背景。默认情况下，RemoteUserBackend创造User对象用于不存在的用户名。若要更改此行为和其他行为，请参阅Django文档.

如果鉴定成功，远程用户认证提供下列凭据：

request.user将是一个DjangoUser举个例子。
request.auth将是None.

有关配置身份验证方法的信息，请参阅Web服务器的文档，例如：

自定义认证

若要实现自定义身份验证方案，请将BaseAuthentication并覆盖.authenticate(self, request)方法。方法应该返回两个元组。(user, auth)如果身份验证成功，或None不然的话。

在某些情况下而不是返回None，您可能想提出一个AuthenticationFailed异常.authenticate()方法。

通常，您应该采取的方法是：

如果未尝试身份验证，则返回None...还在使用的任何其他身份验证方案仍将被检查。
如果尝试验证但失败，则引发AuthenticationFailed例外。将立即返回错误响应，而不检查任何其他身份验证方案，而不检查任何权限检查。

你，你们可以，可能还覆盖.authenticate_header(self, request)方法。如果实现，它应该返回一个字符串，该字符串将用作WWW-Authenticate头中的HTTP 401 Unauthorized回应。

如果.authenticate_header()方法，则身份验证方案将返回。HTTP 403 Forbidden当未经身份验证的请求被拒绝访问时，响应。

注：当自定义身份验证器被请求对象的.user或.auth属性，您可能会看到AttributeError重拾为.WrappedAttributeError...这对于防止外部属性访问抑制原始异常是必要的。Python不会意识到AttributeError起源于您的自定义身份验证器，并将相反地假设请求对象没有.user或.auth财产。这些错误应由您的身份验证程序修复或以其他方式处理。

例

下面的示例将在名为“X-username”的自定义请求头中验证用户名给出的任何传入请求。

from django.contrib.auth.models import User
from rest_framework import authentication
from rest_framework import exceptions

class ExampleAuthentication(authentication.BaseAuthentication):
    def authenticate(self, request):
        username = request.META.get('HTTP_X_USERNAME')
        if not username:
            return None

        try:
            user = User.objects.get(username=username)
        except User.DoesNotExist:
            raise exceptions.AuthenticationFailed('No such user')

        return (user, None)

第三方包

下面的第三方包也是可用的。

Django OAuth工具包

这个Django OAuth工具包包提供了OAuth2.0支持，并与Python3.4+一起工作。此包由以下人员维护：埃文并使用优秀的OAuthLib...这个包有很好的文档和支持，目前是我们的推荐的OAuth 2.0支持包.

安装与配置

安装使用pip.

pip install django-oauth-toolkit

将该包添加到您的INSTALLED_APPS并修改REST框架设置。

INSTALLED_APPS = [
    ...
    'oauth2_provider',
]

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'oauth2_provider.contrib.rest_framework.OAuth2Authentication',
    ]
}

有关详细信息，请参阅Django REST框架-开始文件。