DjangoToken认证详解与HTTP401、403状态码的区别

### Django Token 认证环境搭建

首先，确保安装了必要的模块。使用以下命令安装 `djangorestframework`：

```bash
pip install djangorestframework
```

接下来，在项目的 `settings.py` 文件中进行相关配置。添加如下内容以启用 REST 框架和 Token 认证：

```python
INSTALLED_APPS = [
...
'rest_framework',
'rest_framework.authtoken',
]

REST_FRAMEWORK = {
'DEFAULT_PERMISSION_CLASSES': [
'rest_framework.permissions.AllowAny', # 允许所有用户访问
],
'DEFAULT_AUTHENTICATION_CLASSES': [
'rest_framework.authentication.BasicAuthentication',
'rest_framework.authentication.SessionAuthentication',
'rest_framework.authentication.TokenAuthentication', # 启用 Token 认证
]
}
```

#### 同步数据库生成 Token 表

运行以下命令同步数据库并创建 `authtoken_token` 表：

```bash
python manage.py migrate
```

### 编写登录视图函数

为了实现用户登录并生成 Token，可以编写一个视图类。以下是具体代码示例：

```python
from django.contrib.auth import authenticate, login
from rest_framework.authtoken.models import Token
from rest_framework.permissions import AllowAny
from rest_framework.response import Response
from rest_framework.views import APIView


class LoginViewSet(APIView):
permission_classes = (AllowAny,) # 登录接口允许所有人访问

def post(self, request, *args, **kwargs):
username = request.data.get('username')
password = request.data.get('password')
user = authenticate(username=username, password=password)
if not user:
return Response({'code': 1, 'msg': '用户名或密码错误'})
else:
# 删除旧的 Token
old_token = Token.objects.filter(user=user)
old_token.delete()
# 创建新的 Token
token = Token.objects.create(user=user)
return Response({'code': 0, 'msg': '登录成功!', 'username': user.username, 'token': token.key})
```

### 配置 URL 访问路径

在 `urls.py` 中添加相应的 URL 路由配置：

```python
from django.urls import path
from .views import LoginViewSet

urlpatterns = [
path('login/', LoginViewSet.as_view(), name='login'),
]
```

### Token 认证接口示例

对于需要 Token 认证的接口，可以在视图类中指定认证方式和权限类。例如：

```python
from rest_framework.authentication import TokenAuthentication
from rest_framework.permissions import IsAuthenticated
from rest_framework.response import Response
from rest_framework.views import APIView


class CardListAPIView(APIView):
authentication_classes = (TokenAuthentication,) # 使用 Token 进行认证
permission_classes = (IsAuthenticated,) # 只有已认证用户才能访问

def get(self, request, format=None):
cards = Card.objects.all()
serializer = CardAPISerializer(cards, many=True)
return Response({'code': 0, 'msg': 'success!', 'data': serializer.data})

def post(self, request, format=None):
verify_data = CardAPISerializer(data=request.data)
if verify_data.is_valid():
verify_data.save()
return Response({'code': 0, 'msg': 'success!', 'data': request.data})
```

### 接口访问示例

当用户尝试访问受保护的接口时，必须提供有效的 Token。如果缺少 Token 或 Token 无效，则会返回 HTTP 401 Unauthorized 错误；如果用户没有足够的权限，则会返回 HTTP 403 Forbidden 错误。

#### HTTP 401 和 403 的区别

- **HTTP 401 Unauthorized**：表示请求未经过身份验证或提供的凭据无效。通常是因为用户未登录或 Token 无效。
- **HTTP 403 Forbidden**：表示请求已经过身份验证，但用户没有执行该操作的权限。例如，普通用户试图访问仅限管理员的操作。

总结来说，401 表示认证失败，而 403 表示权限不足。理解这两者的区别有助于更好地设计和调试安全的 API 接口。