python - Django 内部 API 客户端/服务器身份验证与否？

Question

我有一个 Django 项目，我在其中公开了一些 api 端点(api 端点 = 获取/发布的答案，返回 json 响应，如果我的定义有误，请纠正我)。这些端点由我在前端使用，例如更新计数或获取更新内容，或无数其他事情。我在服务器端、模板中处理表示逻辑，并且在某些情况下将呈现为字符串的模板发送到客户端。

所以这里是我试图回答的问题:

1. 我需要在客户端和服务器之间进行某种身份验证吗？
2. django 跨源保护是否足够？
3. 在这张照片中，哪里适合像 django-oauth-toolkit 这样的包？和 django-rest-framework ？
4. 如果我不在客户端和服务器之间添加任何身份验证，我是否会让我的服务器对攻击开放？

此外，服务器到服务器的连接是什么？两台服务器都在我的控制之下。

Answer 1

我强烈建议使用 django-tastypie用于服务器到客户端的通信。我已经在服务器到服务器或服务器到客户端的许多应用程序中使用过它。这允许您应用 django 安全性以及更多有关授权过程的逻辑。它还开箱即用:

• 节流
• json、xml等格式序列化
• 身份验证(基本、apikey、自定义和其他)
• 验证
• 授权
• 分页
• 缓存

因此，作为一个总体概述，我建议构建这样一个框架，使您的内部 api 对于 future 的扩展更具互操作性并且更安全。

现在专门回答你的问题，我绝不会在没有至少一些基本身份验证/授权的情况下启用任何服务器 api。

希望我能回答您有关如何使用框架消除上述所有担忧的问题。

您要求的 django-rest-framework 也非常先进且易于使用，但由于我解释的原因，我更喜欢 tastypie。

希望能帮到您!