复习
"""
一、APIView
as_view：禁用csrf
dispatch：请求、响应、解析、渲染、异常、三大认证
一系列类属性：全局局部配置
做用：drf最底层视图，全部视图类之间或间接继承该类，理论上能够完成一切接口需求
二、GenericAPIView
三个方法：get_queryset、get_serializer、get_object
三个属性：queryset、serializer_class、lookup_url_kwarg
做用：将与Model、Serializer以及肯定惟一对象的key这些变化量交于用户本身配置，查询这些配置的逻辑封装成方法，得以复用；这样处理，使GenericAPIView类及其子类处理与Model相关的接口需求更方便
三、mixins
五个工具类：CreateModelMixin、Destroy、Update、Retrieve、List
六个工具方法：create、destroy、update、partial_update、retrieve、list
做用：将GenericAPIView的封装方法进行整合形参增删改查的业务逻辑
四、ListAPIView...
就是不一样种类不一样个数的mixins中的类与GenericAPIView类的组合，造成的子类
做用：用户继承相应的工具视图类，进行queryset、serializer_class、lookup_url_kwarg配置，就能够完成对应功能的接口
五、视图集
ViewSetMixin类重写了as_view:
1) 局部禁用csrf，同APIView类的as_view
2) 在此基础上，还接收外界的{}参数，存在actions中，{}参数就是让用户自定义请求的映射关系
{'get': 'my_get'} => get请求会交给视图类的my_get函数进行处理
ViewSet：能自定义映射的APIView子类
GenericViewSet：能自定义映射的GenericAPIView子类
六、路由组件
from django.conf.urls import url, include
from . import views
from rest_framework.routers import SimpleRouter
router = SimpleRouter()
router.register('books', views.BookGenericViewSet, basename='book')
urlpatterns = [
url(r'', include(router.urls))
]
"""
jwt认证规则
"""
jwt: json web token
优势：
1）数据库不须要存储token，因此服务器的 IO 操做会减小（没有IO写操做）
2）客户端存Token，服务器只存储签发与校验算法，执行效率高
3）签发与校验算法在多个服务器上能够直接统一，因此jwt认证规则下，服务器作集群很是便捷
突破点：
1）token必需要有多个部分组成，有能反解的部分，也要有不能反解的部分 - jwt采用的都是三段式
2）token中必须包含过时时间，保证token的安全性与时效性
jwt原理：
1）jwt由 头.载荷.签名 三部分组成
2）每一部分数据都是一个json字典，头和载荷采用 base64 可逆加密算法加密，签名采用 HS256 不可逆加密
内容：
1）头(基本信息)：可逆不可逆采用的加密算法、公司名称、项目组信息、开发者信息...
{
"company": "小女孩",
...
}
2）载荷(核心信息)：用户主键、用户帐号、客户端设备信息、过时时间...
{
'pk': 1,
...
}
3）签名(安全信息)：头的加密结果、载荷的加密结果、服务器的安全码(盐)...
{
"header": "..."
...
}
签发算法：
1）头内容写死(能够为空{})：公司、项目组信息都是固定不变的
=> 将数据字典转化成json字符串，再将json字符串加密成base64字符串
2）载荷的内容：用户帐号、客户端设备信息是由客户端提供，用户主键是客户端提供帐号密码校验User表经过后才能肯定，过时时间根据当前时间与配置的过时时间相结合产生
=> 将数据字典转化成json字符串，再将json字符串加密成base64字符串
3）签名的内容，先将头的加密结果，载荷的加密结果做为成员，再从服务器上拿安全码(不能让任何客户端知道)，也能够额外包含载荷的部分(用户信息，设备信息)
=> 将数据字典转化成json字符串，再将json字符串不可逆加密成HS256字符串
4）将三个字符串用 . 链接产生三段式token
校验算法：
1）从客户端提交的请求中拿到token，用 . 分割成三段（若是不是三段，非法）
2）头(第一段)能够不用解密
3）载荷(第二段)必定须要解密，先base64解密成json字符串，再转换成json字典数据
i）用户主键与用户帐号查询User表肯定用户是否存在
ii）设备信息用本次请求提交的设备信息比对，肯定先后是不是同一设备，决定是否对用户作安全提示(eg：短信邮箱提示异地登陆)（一样的安全保障还能够为IP、登陆地点等）
iii）过时时间与当前时间比对，该token是否在有效时间内
4）签名(第三段)采用加密碰撞校验
i）将头、载荷加密字符串和数据库安全码造成json字典，转换成json字符串
ii）采用不可逆HS256加密造成加密字符串
iii）新的加密字符串与第三段签名碰撞比对，一致才能确保token是合法的
5）前方算法都经过后，载荷校验获得的User对象，就是该token表明的登陆用户（Django项目通常都会把登陆用户存放在request.user中）
刷新算法：
1）要在签发token的载荷中，额外添加两个时间信息：第一次签发token的时间，最多日后刷新的有效时间
2）每一请求携带token，不只走校验算法验证token是否合法，还要额外请求刷新token的接口，完成token的刷新：校验规则与校验算法差很少，可是要将过时时间后移(没有超过有效时间，产生新token给客户端，若是超过了，刷新失败)
3）因此服务器不只要配置过时时间，还须要配置最长刷新时间
"""