Понимание SessionAuthentication в django-rest-framework?

Question

Я использую Django v1.8 и django-rest-framework v3.2.2. У меня есть сайт с API с открытым доступом, который также используется моим собственным сайтом (в том же домене), что и Ajax-back-end для приложения JavaScript, используя только GET.

Я хочу, чтобы публичные пользователи этого API запрашивали параметр key в URL-адресе, который я буду выдавать вручную. Но я также хочу, чтобы мое приложение JavaScript могло использовать API, таким образом, что другие пользователи не могут просто украсть ключ и использовать его.

Я установил свою собственную аутентификацию ключа as described here, и он работает хорошо.

Однако я не понимаю, как приложение JavaScript должно использовать API. Очевидно, я мог бы просто передать выделенный URL-адрес key в URL-адресе, но тогда другие пользователи тривиально не смогут определить ключ и использовать его?

Мне кажется, мне нужна SessionAuthentication, но как я могу начать эту работу? Я не вижу никаких указаний in the DRF documentation о том, как мне нужно изменить свои вызовы JavaScript, чтобы использовать его.

Также я не понимаю, как SessionAuthentication позволяет приложению Ajax аутентифицироваться без возможности просмотра и копирования подлинности других пользователей.

Очень благодарен за любые советы.

Answer 1

Мне кажется, мне нужна SessionAuthentication, но как я могу начать эту работу? Я не вижу никаких инструкций в документации DRF о том, как мне нужно изменить мои вызовы JavaScript, чтобы использовать их.

SessionAuthentication - это Django's. Он использует сеанс для аутентификации пользователя. Это в основном прозрачно для запроса ajax, поскольку браузер автоматически отправит файл cookie. Однако, если вы отправляете данные, вам необходимо убедиться, что вы отправляете токен CSRF как в заголовках, так и в почтовом теле.

Также я не понимаю, как SessionAuthentication позволяет приложению Ajax аутентифицироваться без возможности просмотра и копирования подлинности других пользователей.

Как указано выше, для этого используются файлы cookie. Они являются частью заголовков и, как правило, не отображаются в URL-адресах. Чтобы убедиться, что никто другой не может украсть сеанс пользователя, вам нужно запустить сайт через https. Это не сильно отличается от обычных сайтов.