让 Twitter、Tastypie、Django、XAuth 和 iOS 构建基于 Django 的访问权限

Question

我将构建一个 iOS 应用程序，其功能将基于 Django REST 应用程序提供的访问权限。

Django 管理 iOS 应用程序中活动的权限。如果允许，用户 A 可以执行工作 A。将通过 ASIHTTPRequest 向 Django Tastypie 提供的 REST API 查询权限。

没有注册。用户只能通过 Twitter 登录。 XAuth 将用于为用户呈现登录屏幕。

有 2 种类型的用户。出于示例目的，将有类型 1 和类型 2。类型 1 是只能在 iOS 应用程序中浏览数据的普通用户。

类型 2 用户可以提交/编辑数据。

理论上就是这样。然而……我不知道从哪里开始！

最大的障碍：

如何通过 Tastypie 将 Twitter XAuth 与 Django 的用户后端挂钩？

如果我知道这一点，那么我可以查询必要的权限。

提前致谢！

Answer 1

我已经用 django + tastypie 和 iOS 的 facebook 登录做了类似的事情。

身份验证

1. 使用您愿意的任何方式登录用户，获取access_token。

2. 创建一个 GET 请求 tastypie 端点，您将把 accesstoken 作为查询字符串传递到其中。

3. 在服务器端验证等...然后创建您自己的内部“tastypie”令牌并在对 get 请求的响应中返回该令牌，例如：

class GetToken(ModelResource):
    """
    Authenticates the user via facebook and returns an APIToken for them.
    """


class Meta(object):
    queryset = ApiKey.objects.all()
    resource_name = 'authenticate'
    fields = ['user', 'key']
    allowed_methods = ['get']
    authorization = Authorization()
    authentication = FacebookAuthentication()

def prepend_urls(self):
    """We override this to change default behavior
    for the API when using GET to actually "create" a resource,
    in this case a new session/token."""

    return [
        url(r"^(?P<resource_name>%s)%s$" % (self._meta.resource_name, trailing_slash()),
            self.wrap_view('_create_token'), name="api_get_token"),
        ]

def _create_token(self, request, **kwargs):
    """Validate using FacebookAuthentication, and create Api Token if authenticated"""
    self.method_check(request, allowed=['get'])
    # This checks that the user is authenticated on facebook and also creates the user
    # if they have not been created.
    self.is_authenticated(request)
    self.throttle_check(request)

    bundle = self.build_bundle(obj=None, request=request)
    bundle = self.obj_create(bundle, request, **kwargs)
    bundle = self.full_dehydrate(bundle)

    self.log_throttled_access(request)
    return self.create_response(request, bundle.data)


def obj_create(self, bundle, request=None, **kwargs):
    """Create a new token for the session"""
    bundle.obj, created = ApiKey.objects.get_or_create(user=request.user)
    return bundle





在所有后续调用中传递返回的 API 密钥，可以再次作为查询字符串参数，也可以在每次调用的授权标头上设置它。


确保所有您想要进行身份验证的其他资源在元数据中设置了 ApiKeyAuthentication()。


class ThingResource(ModelResource):
    class Meta:
        queryset = Thing.objects.all()
        resource_name = 'thing'
        authentication = ApiKeyAuthentication()


 授权
现在您在服务器端知道用户就是他们所说的那个人，这个用户可以做什么？这就是授权元的意义所在。
您可能需要 Django 授权 在这种情况下您可以使用用户的正常权限方案，或者您可以推出自己的方案。这很简单。

Answer 2

amrox 有一个 很好的示例，介绍如何挂钩 django-oauth-plus 支持 xAuth 到 tastypie。我想它可以根据您的目的进行调整。