DRF中如何基于非User模型（Server）实现服务端身份认证？

我来帮你梳理下这个服务间认证的实现思路，你的代码框架已经找对方向了！我们可以把它优化得更严谨、更符合安全规范，同时适配DRF的认证机制：

DRF的自定义认证类确实要求authenticate方法返回(user, auth)元组，这里我们完全可以用Server实例替代默认的User作为认证实体，DRF会自动把它绑定到request.user上供后续视图使用。

完善后的认证类代码 #

from rest_framework import authentication
from rest_framework import exceptions
from django.contrib.auth.hashers import check_password
from .models import Server

class ServerAuthentication(authentication.BaseAuthentication):
    def authenticate(self, request):
        # 从请求头获取服务标识和密钥
        # 注意：HTTP标准头通常用连字符，Django会转成大写加下划线的META键
        server_name = request.META.get('HTTP_X_SERVER')
        auth_header = request.META.get('HTTP_AUTHORIZATION')
        
        # 校验必要参数是否存在，缺失则返回None（交给后续认证类处理）
        if not server_name or not auth_header:
            return None
        
        # 处理Authorization头的标准格式（比如 "Bearer <secret>"）
        try:
            auth_scheme, server_secret = auth_header.split(maxsplit=1)
            # 可以指定固定的Scheme，比如要求是"ServerSecret"，增强安全性
            if auth_scheme.lower() != 'bearer':
                raise ValueError
        except ValueError:
            raise exceptions.AuthenticationFailed('Invalid Authorization header format')
        
        # 校验服务身份
        try:
            server = Server.objects.get(name=server_name)
            # 用加密校验替代明文匹配（建议密钥存储时用make_password加密）
            if not check_password(server_secret, server.secret):
                raise exceptions.AuthenticationFailed('Invalid server secret')
        except Server.DoesNotExist:
            raise exceptions.AuthenticationFailed('Server not found')
        
        # 返回(server实例, 认证凭证)，这里凭证可以为None
        return (server, None)

关键细节说明 #

1. 请求头规范：

   • 自定义服务标识头用X-Server（HTTP标准格式），对应Django META里的HTTP_X_SERVER
   • Authorization头遵循标准格式，用Bearer作为Scheme，避免和其他认证方式冲突

2. 安全优化：

   • 不要明文存储密钥！创建Server时用django.contrib.auth.hashers.make_password加密，认证时用check_password校验，防止数据库泄露导致密钥失效
   • 增加Authorization头格式校验，避免非法请求

3. DRF适配：

   • 返回的server实例会被DRF赋值给request.user，后续视图里可以直接通过request.user拿到认证后的Server对象
   • 如果认证失败，抛出AuthenticationFailed异常，DRF会自动返回401 Unauthorized响应

全局配置（所有接口生效） #

在项目的settings.py中添加：

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'your_app.authentication.ServerAuthentication',
        # 可以保留其他认证类（如SessionAuthentication），按顺序尝试认证
    ]
}

局部配置（仅特定接口生效） #

在视图类中指定认证类：

from rest_framework.views import APIView
from rest_framework.response import Response
from .authentication import ServerAuthentication

class ServiceOnlyAPIView(APIView):
    authentication_classes = [ServerAuthentication]
    
    def get(self, request):
        # 这里request.user就是认证通过的Server实例
        return Response({
            'message': f'Authenticated successfully',
            'server_name': request.user.name
        })

可选：自定义权限类 #

如果需要对Server做更细粒度的权限控制，可以搭配自定义权限类：

from rest_framework import permissions

class ActiveServerPermission(permissions.BasePermission):
    def has_permission(self, request, view):
        # 假设Server模型有is_active字段，仅允许活跃服务访问
        return hasattr(request.user, 'is_active') and request.user.is_active

然后在视图中添加：

permission_classes = [ActiveServerPermission]

内容的提问来源于stack exchange，提问作者HosseyNJF