Python JWT使用

介紹

jwt（JSON Web Tokens），在用戶認(rèn)證當(dāng)中常用的方式，在如今的前后端分離項(xiàng)目當(dāng)中應(yīng)用廣泛

傳統(tǒng)token和jwt區(qū)別

傳統(tǒng)token：服務(wù)端會(huì)對(duì)登錄成功的用戶生成一個(gè)隨機(jī)token返回，同時(shí)也會(huì)在本地保留對(duì)應(yīng)的token（如在數(shù)據(jù)庫(kù)中存入：token、用戶名、過(guò)期時(shí)間等），當(dāng)用戶再次訪問(wèn)時(shí)，會(huì)攜帶之前的token給服務(wù)端進(jìn)行校驗(yàn)，服務(wù)端則通過(guò)與本地保留的token進(jìn)行對(duì)比，若尋找到符合條件的token數(shù)據(jù)，則校驗(yàn)成功
jwt：服務(wù)端會(huì)對(duì)登錄成功的用戶生成一個(gè)隨機(jī)token返回，但并不會(huì)在服務(wù)端本地保留（這是jwt和傳統(tǒng)token最大的區(qū)別），而當(dāng)用戶再次訪問(wèn)時(shí)，服務(wù)端會(huì)基于jwt對(duì)token進(jìn)行校驗(yàn)和解碼（由于jwt是基于base64url編碼，因此是可以反向解碼的，所以一定要小心token泄漏的問(wèn)題，以及不要在token中存放敏感數(shù)據(jù)，可以在：https://jwt.io/里解碼基于jwt生成的token）

安裝

pip install pyjwt

簡(jiǎn)單示例

import jwt
import time

headers = {
  "alg": "HS256",
  "typ": "JWT"
}
# 設(shè)置headers，即加密算法的配置
salt = "asgfdgerher"
# 隨機(jī)的salt密鑰，只有token生成者（同時(shí)也是校驗(yàn)者）自己能有，用于校驗(yàn)生成的token是否合法
exp = int(time.time() + 1)
# 設(shè)置超時(shí)時(shí)間：當(dāng)前時(shí)間的100s以后超時(shí)
payload = {
  "name": "dawsonenjoy",
  "exp": exp
}
# 配置主體信息，一般是登錄成功的用戶之類的，因?yàn)閖wt的主體信息很容易被解碼，所以不要放敏感信息
# 當(dāng)然也可以將敏感信息加密后再放進(jìn)payload

token = jwt.encode(payload=payload, key=salt, algorithm='HS256', headers=headers).decode('utf-8')
# 生成token
print(token)

info = jwt.decode(token, salt, True, algorithm='HS256')
# 解碼token，第二個(gè)參數(shù)用于校驗(yàn)
# 第三個(gè)參數(shù)代表是否校驗(yàn)，如果設(shè)置為False，那么只要有token，就能夠?qū)ζ溥M(jìn)行解碼
print(info)

time.sleep(2)
# 等待2s后再次驗(yàn)證token，因超時(shí)將導(dǎo)致驗(yàn)證失敗
try:
    info = jwt.decode(token, salt, True, algorithm='HS256')
    print(info)
except Exception as e:
    print(repr(e))

info = jwt.decode(token, '', False, algorithm='HS256')
# 第三個(gè)參數(shù)設(shè)置為False，不進(jìn)行校驗(yàn)，直接解碼token
print(info)

結(jié)果：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJuYW1lIjoiZGF3c29uZW5qb3kiLCJleHAiOjE1NzgzODUwMDl9.pL2zyBUvlJA6blZG_8W9CwXEgFFKkhE-IOSC8WX9MYE
{'name': 'dawsonenjoy', 'exp': 1578385009}
ExpiredSignatureError('Signature has expired',)
{'name': 'dawsonenjoy', 'exp': 1578385009}

可以看到第一次校驗(yàn)是成功的，到了第二次解密時(shí)因?yàn)橐呀?jīng)過(guò)期，從而拋出過(guò)期異常，第三次因?yàn)椴贿M(jìn)行校驗(yàn)，所以直接給出解碼信息

jwt生成token所需字段

生成token時(shí)，首先需要傳入一些字段，主要包括：

headers：主要配置一些加密的算法
payload：規(guī)范當(dāng)中有以下標(biāo)準(zhǔn)字段，但不是絕對(duì)：

iss: jwt簽發(fā)者
sub: jwt所面向的用戶
aud: 接收jwt的一方
exp: jwt的過(guò)期時(shí)間，這個(gè)過(guò)期時(shí)間必須要大于簽發(fā)時(shí)間
nbf: 定義在什么時(shí)間之前，該jwt都是不可用的.
iat: jwt的簽發(fā)時(shí)間
jti: jwt的唯一身份標(biāo)識(shí)，主要用來(lái)作為一次性token,從而回避重放攻擊。
參考鏈接：http://www.lxweimin.com/p/671cc06679f6

secret_key：簽名密鑰，示例代碼里寫的是salt，用于校驗(yàn)token的有效、合法性

jwt生成token過(guò)程

由上面的簡(jiǎn)單示例可以看出，jwt生成的token主要有三部分，用.隔開，分別代表：編碼后的headers、payload，以及校驗(yàn)字段。
具體過(guò)程：

通過(guò)對(duì)headers的json數(shù)據(jù)進(jìn)行base64url編碼生成第一部分
通過(guò)對(duì)payload的json數(shù)據(jù)進(jìn)行base64url編碼生成第二部分
將第一部分和第二部分通過(guò).拼接起來(lái)，然后對(duì)拼接后的內(nèi)容結(jié)合簽名密鑰進(jìn)行HS256加密生成密文（加密算法可以自己選，默認(rèn)HS256），然后再進(jìn)行base64url編碼，從而生成第三部分
三個(gè)部分通過(guò).拼接起來(lái)，作為token

base64url編碼：先進(jìn)行base64編碼，然后將其中的+替換成-、/替換成_，并且最后一般會(huì)將=都去掉

這里簡(jiǎn)單模擬一下jwt的生成（參照了一下源碼）：

import jwt
import time
import json
import base64
import hashlib
import hmac

headers = {
    "typ": "JWT",
    "alg": "HS256"
}
salt = "asgfdgerher"
exp = time.time() + 1
payload = {
  "name": "dawsonenjoy",
  "exp": exp
}

token = jwt.encode(payload=payload, key=salt, algorithm='HS256', headers=headers).decode('utf-8')
# 實(shí)際生成
first = base64.urlsafe_b64encode(json.dumps(headers, separators=(',', ':')).encode('utf-8').replace(b'=', b'')).decode('utf-8').replace('=', '')
# 模擬第一部分生成
second = base64.urlsafe_b64encode(json.dumps(payload, separators=(',', ':')).encode('utf-8').replace(b'=', b'')).decode('utf-8').replace('=', '')
# 模擬第二部分生成
first_second = f"{first}.{second}"
# 拼接前兩部分
third = base64.urlsafe_b64encode(hmac.new(salt.encode('utf-8'), first_second.encode('utf-8'), hashlib.sha256).digest()).decode('utf-8').replace('=', '')
# 模擬第三部分生成
my_token = ".".join([first, second, third])
print(token)
print(my_token)
print(token == my_token)
# 可以看出結(jié)果是一樣的

# 結(jié)果：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJuYW1lIjoiZGF3c29uZW5qb3kiLCJleHAiOjE1Nzg1NTQxMjcuOTkwNDQ0N30.0XYnGgXXb3HrJzfoYsu-9IfqJs4GwTvf6H8uYIH78LY
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJuYW1lIjoiZGF3c29uZW5qb3kiLCJleHAiOjE1Nzg1NTQxMjcuOTkwNDQ0N30.0XYnGgXXb3HrJzfoYsu-9IfqJs4GwTvf6H8uYIH78LY
True

可以看出整體生成的就是一樣的（~~畢竟就是參照源碼寫的~~）

jwt校驗(yàn)和解碼過(guò)程

對(duì)于獲取到的token，首先基于.將其切割成三個(gè)部分
對(duì)第二段進(jìn)行base64url解碼，并獲取payload信息，檢查token是否超時(shí)
將第一段和第二段拼接，并結(jié)合簽名密鑰進(jìn)行HS256加密（默認(rèn)HS256，選擇和加密時(shí)一樣的算法就行了），生成校驗(yàn)字段
將第三段進(jìn)行base64url解碼，判斷是否和上一步生成的校驗(yàn)字段相同，相同則說(shuō)明token有效

jwt常見異常處理

jwt校驗(yàn)拋出的異常類基本都在jwt和jwt.exceptions下，舉例：

import jwt
import time
from jwt import exceptions

headers = {
  "alg": "HS256",
  "typ": "JWT"
}
salt = "asgfdgerher"
exp = int(time.time() - 1)
# 設(shè)置立即失效
payload = {
  "name": "dawsonenjoy",
  "exp": exp
}

token = jwt.encode(payload=payload, key=salt, algorithm='HS256', headers=headers).decode('utf-8')
try:
    info = jwt.decode(token, salt, True, algorithm='HS256')
    print(info)
except exceptions.ExpiredSignatureError:
    print('token已失效')
except jwt.DecodeError:
    print('token認(rèn)證失敗')
except jwt.InvalidTokenError:
    print('非法的token')

WEB開發(fā)中簡(jiǎn)單示例

基于傳統(tǒng)token

首先我們來(lái)看看使用傳統(tǒng)的token的示例（這里基于flask，使用全局字典模擬數(shù)據(jù)庫(kù)來(lái)演示）：

# 基于傳統(tǒng)token實(shí)現(xiàn)用戶校驗(yàn)
from flask import Flask, request
import json
import uuid

app = Flask(__name__)

# 這里用全局字典模擬數(shù)據(jù)庫(kù)：
# user_table表里存放用戶名、密碼用于用戶登錄校驗(yàn)
# user_token表里存放token，用于token校驗(yàn)
# user_info_table存放用戶信息
db_source = {
    'user_table': {
        'dawsonenjoy': {
            'pwd': '111111'
        }
    }, 
    'user_token': {},
    'user_info_table': {
        'dawsonenjoy': {
            'age': 18
        }
    }
}

@app.route('/login', methods=['POST'])
def login():
    '''用戶登錄，用戶名密碼驗(yàn)證成功將會(huì)生成對(duì)應(yīng)token，并將token保存以及返回給用戶'''
    username = request.form.get('username', None)
    pwd = request.form.get('password', None)
    if (not username) or (not pwd):
        return json.dumps({'status': 1, 'code': '400', 'msg': '用戶或密碼不允許為空！'}, ensure_ascii=False)
    if not db_source['user_table'].get(username, None):
        return json.dumps({'status': 1, 'code': '401', 'msg': '用戶不存在！'}, ensure_ascii=False)
    if db_source['user_table'][username]['pwd'] != pwd:
        return json.dumps({'status': 1, 'code': '402', 'msg': '用戶名或密碼錯(cuò)誤！'}, ensure_ascii=False)
    # 當(dāng)?shù)卿浶ｒ?yàn)通過(guò)，則為用戶存入token，并返回token
    token = str(uuid.uuid4())
    db_source['user_token'][token] = username
    return json.dumps({'status': 1, 'code': '200', 'data': {'token': token}})

@app.route('/user_info', methods=['GET'])
def user_info():
    '''查看用戶信息，需要和本地保存的token進(jìn)行校驗(yàn)'''
    token = request.args.get('token', None)
    if not token:
        return json.dumps({'status': 1, 'code': '500', 'msg': 'token不允許為空！'}, ensure_ascii=False)
    if not db_source['user_token'].get(token, None):
        return json.dumps({'status': 1, 'code': '501', 'msg': 'token校驗(yàn)失敗！'}, ensure_ascii=False)
    # 當(dāng)token校驗(yàn)成功則返回用戶信息
    username = db_source['user_token'][token]
    info = db_source['user_info_table'][username]
    return json.dumps({'status': 1, 'code': '200', 'data': {username: info}})

if __name__ == '__main__':
    app.run(debug=True, port=5000)

基于jwt

為了更好地對(duì)比（~~主要是懶得再寫代碼~~），這里就基于前面代碼該進(jìn)成基于jwt版本的校驗(yàn)，代碼示例如下：

# 基于jwt實(shí)現(xiàn)的用戶校驗(yàn)
from flask import Flask, request
import jwt
from jwt import exceptions
import json
import time

app = Flask(__name__)

# 這里用全局字典模擬數(shù)據(jù)庫(kù)：
# user_table表里存放用戶名、密碼用于用戶登錄校驗(yàn)
# 因?yàn)閖wt校驗(yàn)無(wú)需在服務(wù)端存儲(chǔ)，所以u(píng)ser_token表也就不需要
# user_info_table存放用戶信息
db_source = {
    'user_table': {
        'dawsonenjoy': {
            'pwd': '111111'
        }
    }, 
    'user_info_table': {
        'dawsonenjoy': {
            'age': 18
        }
    }
}

SECRET_KEY = "asgfddasdasdasgerher"
# 定義簽名密鑰，用于校驗(yàn)jwt的有效、合法性

def create_token(name):
    '''基于jwt創(chuàng)建token的函數(shù)'''
    global SECRET_KEY
    headers = {
        "alg": "HS256",
        "typ": "JWT"
    }
    exp = int(time.time() + 20)
    payload = {
        "name": name,
        "exp": exp
    }
    token = jwt.encode(payload=payload, key=SECRET_KEY, algorithm='HS256', headers=headers).decode('utf-8')
    # 返回生成的token
    return token

def validate_token(token):
    '''校驗(yàn)token的函數(shù)，校驗(yàn)通過(guò)則返回解碼信息'''
    global SECRET_KEY
    payload = None
    msg = None
    try:
        payload = jwt.decode(token, SECRET_KEY, True, algorithm='HS256')
        # jwt有效、合法性校驗(yàn)
    except exceptions.ExpiredSignatureError:
        msg = 'token已失效'
    except jwt.DecodeError:
        msg = 'token認(rèn)證失敗'
    except jwt.InvalidTokenError:
        msg = '非法的token'
    return (payload, msg)

@app.route('/login', methods=['POST'])
def login():
    '''用戶登錄，用戶名密碼驗(yàn)證成功將會(huì)生成對(duì)應(yīng)token，但不需要在本地保存，直接返回給用戶'''
    username = request.form.get('username', None)
    pwd = request.form.get('password', None)
    if (not username) or (not pwd):
        return json.dumps({'status': 1, 'code': '400', 'msg': '用戶或密碼不允許為空！'}, ensure_ascii=False)
    if not db_source['user_table'].get(username, None):
        return json.dumps({'status': 1, 'code': '401', 'msg': '用戶不存在！'}, ensure_ascii=False)
    if db_source['user_table'][username]['pwd'] != pwd:
        return json.dumps({'status': 1, 'code': '402', 'msg': '用戶名或密碼錯(cuò)誤！'}, ensure_ascii=False)
    # 當(dāng)?shù)卿浶ｒ?yàn)通過(guò)，則為用戶創(chuàng)建并返回token
    token = create_token(username)
    # 注意這里不存入本地了
    return json.dumps({'status': 1, 'code': '200', 'data': {'token': token}})

@app.route('/user_info', methods=['GET'])
def user_info():
    '''查看用戶信息，需要token校驗(yàn)'''
    token = request.args.get('token', None)
    if not token:
        return json.dumps({'status': 1, 'code': '500', 'msg': 'token不允許為空！'}, ensure_ascii=False)
    payload, msg = validate_token(token)
    # 直接對(duì)token進(jìn)行合法性校驗(yàn)
    if msg:
        return json.dumps({'status': 1, 'code': '500', 'msg': msg}, ensure_ascii=False)
    username = payload['name']
    info = db_source['user_info_table'][username]
    return json.dumps({'status': 1, 'code': '200', 'data': {username: info}})

if __name__ == '__main__':
    app.run(debug=True, port=5000)

參考
https://pythonav.com/wiki/detail/6/67/

其他相關(guān)庫(kù)

itsdangerous

一個(gè)基于jwt再封裝了一層的庫(kù)，方便我們對(duì)jwt的使用，簡(jiǎn)單示例：

# pip install itsdangerous
from itsdangerous import TimedJSONWebSignatureSerializer as TJWSS, SignatureExpired, BadData
import time

salt = "adsafergberhere"
payload = {
    "name": "dawsonenjoy",
}
tjwss = TJWSS(salt, 1)
# 實(shí)例化jwt序列化對(duì)象，設(shè)置salt和超時(shí)時(shí)間，這里設(shè)置1s后超時(shí)
token = tjwss.dumps(payload).decode()
# 編碼payload數(shù)據(jù)，生成token
data = tjwss.loads(token)
# 校驗(yàn)和解碼token
print(data)

time.sleep(2)
# 2s后讓token超時(shí)
try:
    print(tjwss.loads(token))
except SignatureExpired:
    print("token超時(shí)")
except BadData:
    print("認(rèn)證失敗")

djangorestframework-jwt

DFM框架中的jwt插件，安裝：

pip install djangorestframework
pip install djangorestframework-jwt

參考：
http://www.lxweimin.com/p/740a0320f960
http://www.lxweimin.com/p/a399b98ab05b

最后編輯于：2020.01.11 15:34:32

?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者
平臺(tái)聲明：文章內(nèi)容（如有圖片或視頻亦包括在內(nèi)）由作者上傳并發(fā)布，文章內(nèi)容僅代表作者本人觀點(diǎn)，簡(jiǎn)書系信息發(fā)布平臺(tái)，僅提供信息存儲(chǔ)服務(wù)。

人面猴
序言：七十年代末，一起剝皮案震驚了整個(gè)濱河市，隨后出現(xiàn)的幾起案子，更是在濱河造成了極大的恐慌，老刑警劉巖，帶你破解...
沈念sama閱讀 228,333評(píng)論 6贊 531
死咒
序言：濱河連續(xù)發(fā)生了三起死亡事件，死亡現(xiàn)場(chǎng)離奇詭異，居然都是意外死亡，警方通過(guò)查閱死者的電腦和手機(jī)，發(fā)現(xiàn)死者居然都...
沈念sama閱讀 98,491評(píng)論 3贊 416
救了他兩次的神仙讓他今天三更去死
文/潘曉璐我一進(jìn)店門，熙熙樓的掌柜王于貴愁眉苦臉地迎上來(lái)，“玉大人，你說(shuō)我怎么就攤上這事。” “怎么了？”我有些...
開封第一講書人閱讀 176,263評(píng)論 0贊 374
道士緝兇錄：失蹤的賣姜人
文/不壞的土叔我叫張陵，是天一觀的道長(zhǎng)。經(jīng)常有香客問(wèn)我，道長(zhǎng)，這世上最難降的妖魔是什么？我笑而不...
開封第一講書人閱讀 62,946評(píng)論 1贊 309
?港島之戀（遺憾婚禮）
正文為了忘掉前任，我火速辦了婚禮，結(jié)果婚禮上，老公的妹妹穿的比我還像新娘。我一直安慰自己，他們只是感情好，可當(dāng)我...
茶點(diǎn)故事閱讀 71,708評(píng)論 6贊 410
惡毒庶女頂嫁案：這布局不是一般人想出來(lái)的
文/花漫我一把揭開白布。她就那樣靜靜地躺著，像睡著了一般。火紅的嫁衣襯著肌膚如雪。梳的紋絲不亂的頭發(fā)上，一...
開封第一講書人閱讀 55,186評(píng)論 1贊 324
城市分裂傳說(shuō)
那天，我揣著相機(jī)與錄音，去河邊找鬼。笑死，一個(gè)胖子當(dāng)著我的面吹牛，可吹牛的內(nèi)容都是我干的。我是一名探鬼主播，決...
沈念sama閱讀 43,255評(píng)論 3贊 441
雙鴛鴦連環(huán)套：你想象不到人心有多黑
文/蒼蘭香墨我猛地睜開眼，長(zhǎng)吁一口氣：“原來(lái)是場(chǎng)噩夢(mèng)啊……” “哼！你這毒婦竟也來(lái)了？” 一聲冷哼從身側(cè)響起，我...
開封第一講書人閱讀 42,409評(píng)論 0贊 288
萬(wàn)榮殺人案實(shí)錄
序言：老撾萬(wàn)榮一對(duì)情侶失蹤，失蹤者是張志新（化名）和其女友劉穎，沒(méi)想到半個(gè)月后，有當(dāng)?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體，經(jīng)...
沈念sama閱讀 48,939評(píng)論 1贊 335
?護(hù)林員之死
正文獨(dú)居荒郊野嶺守林人離奇死亡，尸身上長(zhǎng)有42處帶血的膿包…… 初始之章·張勛以下內(nèi)容為張勛視角年9月15日...
茶點(diǎn)故事閱讀 40,774評(píng)論 3贊 354
?白月光啟示錄
正文我和宋清朗相戀三年，在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了。大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片。...
茶點(diǎn)故事閱讀 42,976評(píng)論 1贊 369
活死人
序言：一個(gè)原本活蹦亂跳的男人離奇死亡，死狀恐怖，靈堂內(nèi)的尸體忽然破棺而出，到底是詐尸還是另有隱情，我是刑警寧澤，帶...
沈念sama閱讀 38,518評(píng)論 5贊 359
?日本核電站爆炸內(nèi)幕
正文年R本政府宣布，位于F島的核電站，受9級(jí)特大地震影響，放射性物質(zhì)發(fā)生泄漏。R本人自食惡果不足惜，卻給世界環(huán)境...
茶點(diǎn)故事閱讀 44,209評(píng)論 3贊 347
男人毒藥：我在死后第九天來(lái)索命
文/蒙蒙一、第九天我趴在偏房一處隱蔽的房頂上張望。院中可真熱鬧，春花似錦、人聲如沸。這莊子的主人今日做“春日...
開封第一講書人閱讀 34,641評(píng)論 0贊 26
一樁弒父案，背后竟有這般陰謀
文/蒼蘭香墨我抬頭看了看天上的太陽(yáng)。三九已至，卻和暖如春，著一層夾襖步出監(jiān)牢的瞬間，已是汗流浹背。一陣腳步聲響...
開封第一講書人閱讀 35,872評(píng)論 1贊 286
情欲美人皮
我被黑心中介騙來(lái)泰國(guó)打工，沒(méi)想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留，地道東北人。一個(gè)月前我還...
沈念sama閱讀 51,650評(píng)論 3贊 391
代替公主和親
正文我出身青樓，卻偏偏與公主長(zhǎng)得像，于是被迫代替她去往敵國(guó)和親。傳聞我的和親對(duì)象是個(gè)殘疾皇子，可洞房花燭夜當(dāng)晚...
茶點(diǎn)故事閱讀 47,958評(píng)論 2贊 373

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美国产综合欧美视频

Python JWT使用

Python JWT使用

介紹

傳統(tǒng)token和jwt區(qū)別

安裝

簡(jiǎn)單示例

jwt生成token所需字段

jwt生成token過(guò)程

jwt校驗(yàn)和解碼過(guò)程

jwt常見異常處理

WEB開發(fā)中簡(jiǎn)單示例

基于傳統(tǒng)token

基于jwt

其他相關(guān)庫(kù)

itsdangerous

djangorestframework-jwt

推薦閱讀更多精彩內(nèi)容

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美 国产 综合 欧美 视频

Python JWT使用

介紹

傳統(tǒng)token和jwt區(qū)別

安裝

簡(jiǎn)單示例

jwt生成token所需字段

jwt生成token過(guò)程

jwt校驗(yàn)和解碼過(guò)程

jwt常見異常處理

WEB開發(fā)中簡(jiǎn)單示例

基于傳統(tǒng)token

基于jwt

其他相關(guān)庫(kù)

itsdangerous

djangorestframework-jwt

推薦閱讀更多精彩內(nèi)容

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美国产综合欧美视频