📖 Теория — Урок 40

Часть 1: Аутентификация и авторизация — в чём разница

Сравнение концепций

Важность в реальных проектах

• Безопасность: защищает API от несанкционированного доступа и атак
• Управление доступом: контроль на основе ролей и прав пользователей
• Интеграция: поддержка различных методов для разных клиентов (web, mobile, API)

Часть 2: Порядок проверки в DRF

Django REST Framework обрабатывает каждый входящий запрос последовательно через два этапа.

Шаг 1: Аутентификация

1. Инициализация: DRF перебирает все классы из DEFAULT_AUTHENTICATION_CLASSES последовательно
2. Проверка учётных данных: каждый класс пытается извлечь и проверить данные (токен, сессию, заголовок). При успехе — устанавливается request.user и request.auth
3. Провал: если ни один класс не сработал — request.user = AnonymousUser. Провал аутентификации не вызывает немедленного отказа

Шаг 2: Авторизация

1. Инициализация: DRF определяет классы разрешений из DEFAULT_PERMISSION_CLASSES или атрибута permission_classes представления
2. Проверка разрешений: каждый класс проверяет, есть ли у пользователя права. Разрешения работают на уровне представления (IsAuthenticated) или объекта (проверка владельца)
3. Провал: если пользователь не имеет прав — выбрасывается PermissionDenied → HTTP 403 Forbidden

Общая схема запроса

1. Пользователь отправляет HTTP-запрос к API
2. DRF проходит через все классы аутентификации → устанавливает request.user
3. DRF проходит через все классы разрешений
4. Если проверка разрешений успешна → обработка запроса продолжается
5. Если провал разрешений → PermissionDenied → 403

Часть 3: Встроенные классы аутентификации DRF

1. SessionAuthentication

Использует сессии и куки Django для аутентификации пользователей. Основной метод для традиционных веб-приложений.

• Принцип работы: пользователь входит через форму логина; идентификатор сессии хранится в куках; каждый последующий запрос браузер автоматически отправляет куку
• Преимущества: встроен в Django, хорошо работает с форм-приложениями
• Ограничения: не подходит для мобильных приложений и «чистых» REST API, требует куки и сессии

2. BasicAuthentication

Простой метод: логин и пароль передаются в Base64 в заголовке каждого запроса.

• Принцип работы: клиент кодирует username:password в Base64 и передаёт в заголовке Authorization: Basic dXNlcjpwYXNz
• Преимущества: прост в реализации; не требует сессий или куки
• Ограничения: небезопасен без HTTPS (данные можно перехватить); учётные данные передаются при каждом запросе; не подходит для долгосрочной аутентификации

3. TokenAuthentication

Метод на основе токенов. После успешного входа сервер выдаёт токен; клиент отправляет его в заголовке каждого запроса.

• Принцип работы: токен хранится в базе данных и привязан к пользователю; заголовок: Authorization: Token abc123def456...
• Преимущества: подходит для REST API и мобильных приложений; аутентификация без сессий
• Ограничения: один токен на пользователя без срока действия — нужно управлять ротацией; требует app rest_framework.authtoken

4. RemoteUserAuthentication

Для интеграции с внешними системами аутентификации (SSO, LDAP, Kerberos). Пользователь идентифицируется через HTTP-заголовок REMOTE_USER, установленный веб-сервером или прокси.

• Преимущества: удобен для корпоративных систем с единым входом (SSO)
• Ограничения: требует настройки внешнего веб-сервера; менее гибок для стандартных API

Часть 4: JWT-аутентификация (Simple JWT)

Структура JWT

JWT состоит из трёх частей, разделённых точками: header.payload.signature

Преимущества JWT перед TokenAuthentication

• Stateless: сервер не хранит сессии — вся информация в самом токене
• Масштабируемость: не нужна синхронизация сессий между серверами
• Access + Refresh токены: access (короткий срок) + refresh (долгий срок) для безопасной ротации
• Произвольные claims: можно включать роли, права доступа прямо в токен
• Снижение нагрузки на БД: проверка только подписи, без запроса к базе данных

Simple JWT в DRF

Библиотека djangorestframework-simplejwt — современное и гибкое решение для JWT в DRF.

pip install djangorestframework-simplejwt

Конфигурация в settings.py:

# settings.py
REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'rest_framework_simplejwt.authentication.JWTAuthentication',
    ],
}

from datetime import timedelta

SIMPLE_JWT = {
    'ACCESS_TOKEN_LIFETIME': timedelta(minutes=5),
    'REFRESH_TOKEN_LIFETIME': timedelta(days=1),
}

URL-маршруты для получения и обновления токенов:

# urls.py
from django.urls import path
from rest_framework_simplejwt.views import TokenObtainPairView, TokenRefreshView

urlpatterns = [
    path('api/token/', TokenObtainPairView.as_view(), name='token_obtain_pair'),
    path('api/token/refresh/', TokenRefreshView.as_view(), name='token_refresh'),
]

Использование в заголовке запроса:

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

Часть 5: Классы разрешений (Permissions)

Разрешения работают после аутентификации. Они определяют, имеет ли пользователь доступ к конкретному представлению или объекту.

Встроенные классы разрешений DRF

Настройка: глобально vs на уровне представления

# Глобальная настройка в settings.py
REST_FRAMEWORK = {
    'DEFAULT_PERMISSION_CLASSES': [
        'rest_framework.permissions.IsAuthenticated',
    ],
}

# Переопределение на уровне конкретного представления
class PublicView(APIView):
    permission_classes = [AllowAny]
    ...

class AdminOnlyView(APIView):
    permission_classes = [IsAdminUser]
    ...