Django Rest Framework JWT:如何在登录时更改令牌到期时间

Question

我正在使用Django REST框架JWT Auth进行会话创建和权限,唯一的问题是:当我登录并且在令牌过期后我无法继续执行我想要的操作,除非我再次登录.我还没有完全理解为其他设置提供的文档.

因此,任何人都可以解释一种动态创建(和刷新)我的令牌的方法(遵循最佳实践),这样我就可以在登录时继续进行操作.

PS:我正在使用角度2作为我的前端,我在Http请求标头中插入令牌.谢谢.

Answer 1

JWT令牌刷新有点令人困惑,我希望这个解释有所帮助.

• 令牌有issued at时间(iat在令牌中)
• 令牌有expiration date(现在()+ 1小时,例如)
• 令牌无法更改.服务器只能发出一个新的一个
• iat永远不会改变,但expires 不会每次刷新改变

当您想要扩展令牌时,会发生以下情况:

• 您将您发送token到服务器端点/.../refresh/
• 服务器检查其未过期: now() <= token.iat + JWT_REFRESH_EXPIRATION_DELTA
• 如果没有过期:
  • 发出一个新令牌(在json正文中返回,与登录相同)
  • 新令牌有效 now() + JWT_EXPIRATION_DELTA
  • issued at令牌中的值不会更改
  • 应用程序现在有2个令牌(技术上).
  • 应用程序丢弃旧令牌并开始发送新令牌
• 如果已过期:返回错误消息和400状态

例

你有EXPIRATION=1 hour,和REFRESH_DELTA=2 days.当您登录时,您将获得一个标记,上面写着"创建时间:Jun-02-6pm".您可以刷新此令牌(或通过刷新从中创建的任何令牌)2天.这意味着,对于此登录,您可以在不重新登录的情况下使用令牌的最长时间是2天1小时.您可以每隔1秒刷新一次,但是在2天之后,服务器将完全停止允许刷新,为您留下有效1小时的最终令牌.(头疼).

设置

您必须JWT_AUTH在django设置文件的设置中在后端启用此功能.我相信它默认是关闭的.以下是我使用的设置:

JWT_AUTH = {
    # how long the original token is valid for
    'JWT_EXPIRATION_DELTA': datetime.timedelta(days=2),

    # allow refreshing of tokens
    'JWT_ALLOW_REFRESH': True,

    # this is the maximum time AFTER the token was issued that
    # it can be refreshed.  exprired tokens can't be refreshed.
    'JWT_REFRESH_EXPIRATION_DELTA': datetime.timedelta(days=7),
}

然后你可以调用JWT刷新视图,在你的身体中传递你的令牌(作为json)并获得一个新的令牌.详情请见http://getblimp.github.io/django-rest-framework-jwt/#refresh-token上的文档

$ http post localhost:8000/auth/jwt/refresh/ --json token=$TOKEN

哪个回报:

HTTP 200 
{
    "token": "new jwt token value" 
}