Создание токена доступа с помощью Django OAuth2 Toolkit

Ответ 1

Если вы хотите удалить все предыдущие токены доступа перед выпуском нового, существует простое решение этой проблемы: Сделать свой собственный поставщик токенов!

Ниже приведенный ниже код поможет вам в достижении такой функциональности:

from oauth2_provider.models import AccessToken, Application
from braces.views import CsrfExemptMixin
from oauth2_provider.views.mixins import OAuthLibMixin
from oauth2_provider.settings import oauth2_settings

class TokenView(APIView, CsrfExemptMixin, OAuthLibMixin):
    permission_classes = (permissions.AllowAny,)

    server_class = oauth2_settings.OAUTH2_SERVER_CLASS
    validator_class = oauth2_settings.OAUTH2_VALIDATOR_CLASS
    oauthlib_backend_class = oauth2_settings.OAUTH2_BACKEND_CLASS

    def post(self, request):
        username = request.POST.get('username')
        try:
            if username is None:
                raise User.DoesNotExist
            AccessToken.objects.filter(user=User.objects.get(username=username), application=Application.objects.get(name="Website")).delete()
        except Exception as e:
            return Response(e.message,status=400)

        url, headers, body, status = self.create_token_response(request)
        return Response(body, status=status, headers=headers)

Часть, которую вы должны заметить, это блок Try-Except. Там мы находим токены доступа и удаляем их. Все, прежде чем мы создадим новый.

Вы можете посмотреть, как создать свой собственный поставщик, используя OAuthLib. Кроме того, это может быть полезно также: TokenView в django-oauth-toolkit. Вы можете увидеть там оригинальный Apiview. Как вы сказали, вы использовали этот пакет.

Что касается refresh_token, как уже упоминалось в других ответах здесь, вы не можете делать то, что вы просите. Если вы посмотрите на код типа oauthlib grunt grut, вы увидите, что при его инициализации refresh_token имеет значение True. Если вы не измените тип Grunt, это не может быть сделано.

Но вы можете сделать то же самое, что и мы, с помощью токенов доступа. Создайте токен, а затем удалите токен обновления.

Ответ 2

Мне нужно, чтобы каждый раз, когда пользователь запрашивает новый токен доступа, старый станет недействительным, непригодным для использования и будет удален.

Предоставление нового токена, когда вы запрашиваете его, похоже на ожидаемое поведение. Разве вам не возможно отменить существующий, прежде чем запрашивать новый?

Обновление

Я настоятельно рекомендую сделать это изменение настраиваемым, если вы измените свое мнение в будущем (ведь все же несколько токенов выдаются по причинам, таким как this)

Более простым решением является наличие собственного класса валидатора, возможно, который наследует oauth2_provider.oauth2_validators.OAuth2Validator и переопределяет save_bearer_token. Этот новый класс должен быть указан для OAUTH2_VALIDATOR_CLASS в settings.py

Кроме того, существует ли способ, которым тип grunt пароля не будет создавать обновление маркер. Я не использую это в своем приложении.

Инструмент Django OAuth зависит от OAuthLib.

Предоставление refresh_token необязательно сводится к методу create_token в классе BearerToken класса oAuthLib в этой строке, а класс для предоставления пароля - здесь. Как вы можете видеть, метод __init__ для этого класса принимает аргумент refresh_token, который по умолчанию имеет значение True. Это значение используется в методе create_token_response того же класса в строке

token = token_handler.create_token(request, self.refresh_token)

create_token_response метод в OAuthLibCore класс инструментария Django OAuth - тот, который, я считаю, вызывает соответствующий create_token_response в OAuthLib. Обратите внимание на использование self.server и его инициализацию в методе __init__ этого класса, который имеет только валидатор, переданный как аргумент, но ничего не связанный с refresh_token.

Сравните это с OAuthLib Неявный тип гранта create_token_response метод, который явно делает

token = token_handler.create_token(request, refresh_token=False)

не создавать refresh_token вообще

Итак, если я не пропустил что-то здесь, TL;DR, я не думаю, что инструментарий Django OAuth предоставляет функцию необязательного refresh_token.