python - 为第三方创建 api token

Question

我正在开发第三方有兴趣与我们集成的应用程序。我想为每个用户创建一个 token ，想知道 django 中最有效和最常用的方法是什么？我试图找到一个，发现这个看起来很有希望:

https://github.com/jpulgarin/django-tokenapi

显然开箱即用是行不通的，但我可以类似地实现它。上面的项目基本上使用了sha hashing算法。将此或 MD5 用于 api token 是否安全？感谢您的帮助!

Answer 1

当您选择 API key 时，您要寻找的两个因素是

1. 无法猜测。这意味着您的 key 必须是随机出现的，而且它对于暴力破解来说太长了

2. 是唯一的。意味着没有两个用户会意外获得相同的 API key 。您可以使用数据库唯一性约束来强制执行此操作。

请记住，如果您只使用 1 个 key ，则必须在所有 api 端点上启用 SSL。 key 在运输途中被盗很糟糕，M'kay？

现在，对于实现，如果您使用自己的自定义 View 来为您的 API 提供服务，那么 https://github.com/jpulgarin/django-tokenapi应该适合你。

无论如何，如果您使用的是 TasyPie 或类似软件，您可能希望使用它们的内置授权码，包括 api key 管理。

http://django-tastypie.readthedocs.org/en/latest/authentication_authorization.html#apikeyauthentication

http://django-rest-framework.org/api-guide/authentication.html#tokenauthentication