Django restframework Token拥有不过期的认证

REST框架中的Token认证不像Session认证一样，它是没有办法设置过期时间的，但是有时我们需要对Token做过期验证，比如说用户在A设备登陆之后获取一个Token，如果用户在没有清空浏览器缓存的情况下，Token将一直保存在缓存中，一周后在访问依旧有效，但我们并不希望这样，我们觉得Token认证应该和Session一样都有过期时间，过期之后作废。

1. 首先，看下TokenAuthentication模块的源码如下：

   class TokenAuthentication(BaseAuthentication):
   keyword = 'Token'
   model = None

   def get_model(self):
   if self.model is not None:
   return self.model
   from rest_framework.authtoken.models import Token
   return Token

   def authenticate(self, request):
   auth = get_authorization_header(request).split()

   if not auth or auth[0].lower() != self.keyword.lower().encode():
   return None

   if len(auth) == 1:
   msg = _('Invalid token header. No credentials provided.')
   raise exceptions.AuthenticationFailed(msg)
   elif len(auth) > 2:
   msg = _('Invalid token header. Token string should not contain spaces.')
   raise exceptions.AuthenticationFailed(msg)

   try:
   token = auth[1].decode()
   except UnicodeError:
   msg = _('Invalid token header. Token string should not contain invalid characters.')
   raise exceptions.AuthenticationFailed(msg)

   return self.authenticate_credentials(token)

   def authenticate_credentials(self, key): # key=前端在请求头传过来的Token
   model = self.get_model() # 获取Token模块
   try:
   token = model.objects.select_related('user').get(key=key) # 通过key获取Token
   except model.DoesNotExist:
   raise exceptions.AuthenticationFailed(_('Invalid token.')) # 如果没有就报错

   if not token.user.is_active:
   raise exceptions.AuthenticationFailed(_('User inactive or deleted.')) # 如果用户没有激活也报错

   return (token.user, token)

   def authenticate_header(self, request):
   return self.keyword # 然后把Token和登录的用户返回给View

上面有注解的地方是关键。 过期验证，就相当于多加一个判断，只要继承该类，然后重写authenticate_credentials方法即可。以下是我实现的例子，以expiringTokenAuthentication.py保存。

from rest_framework.authentication import TokenAuthentication
from django.utils.translation import ugettext_lazy as _
from rest_framework import exceptions
from django.utils import timezone
from datetime import timedelta
from django.conf import settings
class ExpiringTokenAuthentication(TokenAuthentication):
def authenticate_credentials(self, key):
model = self.get_model()
try:
token = model.objects.select_related('user').get(key=key)
except model.DoesNotExist:
raise exceptions.AuthenticationFailed(('Invalid token.'))
if not token.user.is_active:
raise exceptions.AuthenticationFailed(('User inactive or deleted.'))

if timezone.now() > (token.created + timedelta(DAYS)): # 重点就在这句了，这里做了一个Token过期的验证，如果当前的时间大于Token创建时间+DAYS天，那么久返回Token已经过期
raise exceptions.AuthenticationFailed(_('Token has expired'))
return (token.user, token)

以此类推， 要对token进行类似的判断，都可以按上面的代码进行仿写。