DRF权限和频率

DRF权限 :

权限是什么 :

　　对某件事情决策的范围和程度, 就叫权限, 权限在项目开发中是非常重要的.

　　看下DRF框架给我们提供的权限组件都有哪些方法.

权限组件源码 :

　　通过DRF的版本和认证, 也知道全下和频率都是在niitial方法里初始化的.

　　其实版本, 认证, 权限, 频率控制走的源码流程大致相同, 也是可以在源码中看到

　　权限类中一定要有has_permission方法, 否则会抛出异常, 这也是框架给我提供的钩子,

　　我们看到在rest_framework.permission这个文件中, 存放了框架给我们提供的所有权限的方法.

　　其中BasePwemission是写权限类继承的一个基础权限类.

权限的详细用法举例 :

　　我们要搞清楚一点, 我们python代码是一行一行的执行的, name执行initial方法初始化这些组件的时候, 也是有顺序的, 我们的版本在前面, 然后是认证, 然后是权限, 最后是频率.

　　在权限执行的时候, 我们认证已经执行结束了

　　前提在model中的UserInfo表中加了一个字段, 用户类型的字段, 做好数据迁移.

class MyPermission(BasePermission):
    message = "VIP用户才能访问"

    def has_permission(self, request, view):
        """
        自定义权限只有vip用户能访问，
        注意我们初始化时候的顺序是认证在权限前面的，所以只要认证通过~
        我们这里就可以通过request.user,拿到我们用户信息
        request.auth就能拿到用户对象
        """
        if request.user and request.auth.type == 2:
            return True
        else:
            return False

class TestAuthView(APIView):
    authentication_classes = [MyAuth, ]
    permission_classes = [MyPermission, ]

    def get(self, request, *args, **kwargs):
        print(request.user)
        print(request.auth)
        username = request.user
        return Response(username)

REST_FRAMEWORK = {
    # 默认使用的版本控制类
    'DEFAULT_VERSIONING_CLASS': 'rest_framework.versioning.URLPathVersioning',
    # 允许的版本
    'ALLOWED_VERSIONS': ['v1', 'v2'],
    # 版本使用的参数名称
    'VERSION_PARAM': 'version',
    # 默认使用的版本
    'DEFAULT_VERSION': 'v1',
    # 配置全局认证
    # 'DEFAULT_AUTHENTICATION_CLASSES': ["BRQP.utils.MyAuth", ]
    # 配置全局权限
    "DEFAULT_PERMISSION_CLASSES": ["BROP.utils.MyPermission"]
}

---

DRF的频率 :

频率限制是做什么的 :

　　开放平台的API接口调用需要限制其频率, 以节约服务器资源和避免恶意的频繁调用.

频率组件原理 :

　　DRF中的频率控制基本原理是基于访问次数和时间 的, 当然也可以通过自定义的方法来实现.

　　当请求进来时, 走到我们频率组件的时候, DRF内部会有一个字典来记录访问者的ip,

　　以这个访问者的ip为key, value为一个列表, 存放访问者每次访问的时间,

　　{ ip1: [ 第三次访问时间, 第二次访问时间, 第一次访问时间 ] }

　　把每次访问最新时间放入列表的最前面, 记录这样一个数据结构.

　　如果设置的是10秒内只能访问5次,

　　　　1, 判断访问者的ip是否在这个请求的ip和字典里

　　　　2. 保证这个列表里都是最近10秒内的访问时间

　　　　　　判断当前请求时间和列表里最早的(也就是最后的)请求时间的差

　　　　　　如果差大于10秒, 说明请求已经不是最近10秒内的, 删除掉.

　　　　　　继续判断单数第二个, 知道差值小于10秒

　　　　3. 判断列表的长度(即访问次数), 是否大于我们设置的5次

　　　　　　如果大事就限流, 否则放行, 并把时间放入列表的最前面

频率组件的详细用法 :

VISIT_RECORD = {}
class MyThrottle(object):

    def __init__(self):
        self.history = None

    def allow_request(self, request, view):
        """
        自定义频率限制60秒内只能访问三次
        """
        # 获取用户IP
        ip = request.META.get("REMOTE_ADDR")
        timestamp = time.time()
        if ip not in VISIT_RECORD:
            VISIT_RECORD[ip] = [timestamp, ]
            return True
        history = VISIT_RECORD[ip]
        self.history = history
        history.insert(0, timestamp)
        while history and history[-1] < timestamp - 60:
            history.pop()
        if len(history) > 3:
            return False
        else:
            return True

    def wait(self):
        """
        限制时间还剩多少
        """
        timestamp = time.time()
        return 60 - (timestamp - self.history[-1])

REST_FRAMEWORK = {
    # ......
    # 频率限制的配置
    "DEFAULT_THROTTLE_CLASSES": ["Throttle.throttle.MyThrottle"],
    }
}

from rest_framework.throttling import SimpleRateThrottle


class MyVisitThrottle(SimpleRateThrottle):
    scope = "WD"

    def get_cache_key(self, request, view):
        return self.get_ident(request)

REST_FRAMEWORK = {
    # 频率限制的配置
    # "DEFAULT_THROTTLE_CLASSES": ["Throttle.throttle.MyVisitThrottle"],
    "DEFAULT_THROTTLE_CLASSES": ["Throttle.throttle.MyThrottle"],
    "DEFAULT_THROTTLE_RATES":{
        'WD':'5/m',         #速率配置每分钟不能超过5次访问，WD是scope定义的值，

    }
}

　　我们可以在postman或者DRF自带的页面进行测试, 没什么区别