Django JWT 和 OAuth 认证和授权

Question

目前我正在为我的 django REST API 使用 JWT 身份验证。

但是从 JWT 库中，我无法在过期后刷新 token 。 (5分钟)
https://github.com/GetBlimp/django-rest-framework-jwt

所以我需要为刷新 token 集成 OAuth 2.0，为访问 token 集成 JWT token 。

如何为我的 REST 框架集成 JWT + OAuth 2.0。或任何 sample ？

前任:
https://github.com/GetBlimp/django-rest-framework-jwt
加https://django-oauth-toolkit.readthedocs.io/en/latest/#

Answer 1

我们采用的方法是增加 token 到期时间(假设为 36 小时)，然后当达到某个阈值时(例如 token 到期前 12 小时)，从服务器请求新 token 。

为什么是 36 和 12？这里完全是假设，但用户可能每 1.5 天访问一次网站，12 小时的刷新时间让他们有时间在我们的网站之外享受生活(这对我来说听起来很疯狂，但那是另一回事)。选择似乎适合您用户行为的时间。尝试找到用户可能会回到您的网站并在刷新窗口上做出明智决定的时间。当然，JWT 也有可刷新的时间限制，您可能在某些应用程序中看到过“在接下来的 30 天内让我登录”，之后用户必须重新进行身份验证。

安全明智吗？在阅读了 SO 的一堆答案后，似乎更长的到期时间不会使您的 JWT 更容易受到攻击。如果您是偏执狂，您可以将旧的 JWT 列入黑名单(但仍有剩余时间)，但在大多数情况下，通过 HTTPS 应该就足够了。