欧美一级片播放,欧美精品在欧美一区二区

主頁 > 知識庫 > Python JWT 介紹和使用詳解

Python JWT 介紹和使用詳解

1. JWT 介紹

jwt（ JSON Web Tokens ），是一種開發的行業標準 RFC 7519 ，用于安全的表示雙方之間的聲明。目前，jwt廣泛應用在系統的用戶認證方面，特別是現在前后端分離項目
jwt認證流程：

在項目開發中，一般會按照上圖所示的過程進行認證，即：用戶登錄成功之后，服務端給用戶瀏覽器返回一個 token，以后用戶瀏覽器要攜帶 token 再去向服務端發送請求，服務端校驗 token 的合法性，合法則給用戶看數據，否則，返回一些錯誤信息

傳統token方式和jwt在認證方面有什么差異？

傳統 token 方式：用戶登錄成功后，服務端生成一個隨機 token 給用戶，并且在服務端(數據庫或緩存)中保存一份 token，以后用戶再來訪問時需攜帶 token，服務端接收到 token 之后，去數據庫或緩存中進行校驗 token 的是否超時、是否合法
jwt 方式：用戶登錄成功后，服務端通過 jwt 生成一個隨機 token 給用戶（服務端無需保留 token），以后用戶再來訪問時需攜帶token，服務端接收到 token 之后，通過 jwt 對 token 進行校驗是否超時、是否合法

2. JWT 創建 token

2.1 JWT 生成原理

jwt 的生成 token 格式如下，即：由 . 連接的三段字符串組成

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lI
iwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

生成規則如下：

第一段 HEADER 部分，固定包含算法和 token 類型，對此 json 進行 base64url 加密，這就是 token
的第一段

{
"alg": "HS256",
"typ": "JWT"
}

第二段 PAYLOAD 部分，包含一些數據，對此json進行base64url加密，這就是token的第二段

{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
...
}

第三段 SIGNATURE 部分，把前兩段的 base64url 密文通過. 拼接起來，然后對其進行 HS256 加密，再然后對hs256 密文進行 base64url 加密，最終得到 token 的第三段

base64url(
	HMACSHA256(
		base64UrlEncode(header) + "." + base64UrlEncode(payload),
	your-256-bit-secret (秘鑰加鹽)
	)
)

最后將三段字符串通過 . 拼接起來就生成了 jwt 的 token

注意：base64url 加密是先做 base64 加密，然后再將 - 替代 + 及 _ 替代 /

2.2 JWT 校驗 token 原理

一般在認證成功后，把 jwt 生成的 token 返回給用戶，以后用戶再次訪問時候需要攜帶 token，此時 jwt 需要對token 進行超時及合法性校驗
獲取 token 之后，會按照以下步驟進行校驗：

將token分割成 header_segment 、payload_segment 、crypto_segment 三部分

JWT_TOKEN =
"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c"

signing_input, crypto_segment = JWT_TOKEN.rsplit('.', 1)
header_segment, payload_segment = signing_input.split('.', 1)

對第一部分header_segment 進行 base64url 解密，得到 header

對第二部分payload_segment 進行 base64url 解密，得到 payload

對第三部分crypto_segment 進行 base64url 解密，得到 signature，針對 signature 部分數據進行合法性校驗

拼接前兩段密文，即：signing_input
從第一段明文中獲取加密算法，默認：HS256
使用算法+鹽對 signing_input 進行加密，將得到的結果和 signature 密文進行比較

3. 代碼實現

基于 Python 的 pyjwt 模塊創建 jwt 的 token

安裝

pip3 install pyjwt

實現

from datetime import datetime, timedelta

import jwt


class JwtToken(object):

    _salt = "@^4_00wedv**pi)+(!w1rwi=d3q4l=ie=g-u$s8jevmj*zgg2h" 

    _expire_message = dict(code=1200, msg="token 已經失效")

    _unknown_error_message = dict(code=4200, msg="token 解析失敗")

    @classmethod
    def generate_token(cls, payload: dict) -> str:
        headers = dict(typ="jwt", alg="HS256")
        resut = jwt.encode(payload=payload, key=cls._salt, algorithm="HS256", headers=headers)
        return resut

    @classmethod
    def parse_token(cls, token: str) -> tuple:
        verify_status = False
        try:
            payload_data = jwt.decode(token, cls._salt, algorithms=['HS256'])
            verify_status = True
        except jwt.ExpiredSignatureError:
            payload_data = cls._expire_message
        except Exception as _err:
            payload_data = cls._unknown_error_message
        return verify_status, payload_data


if __name__ == '__main__':
    TEST_DATA = dict(name="mooor", exp=datetime.utcnow() - timedelta(seconds=1))
    token = JwtToken.generate_token(TEST_DATA)
    print(token)
    payload = JwtToken.parse_token(token)
    print(payload)

注意：exp 務必選擇 UTC 時間

Expiration time will be compared to the current UTC time (as given by timegm(datetime.utcnow().utctimetuple())), so be sure to use a UTC timestamp or datetime in encoding

4. 參數介紹

4.1 示例：

import jwt
import datetime

dic = {
    'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1),  # 過期時間
    'iat': datetime.datetime.utcnow(),  #  開始時間
    'iss': 'ChaosMoor',                 #  簽名
    'data': {                           #  內容，一般存放該用戶id和開始時間
        'a': 1,
        'b': 2,
    },
}


token = jwt.encode(dic, 'secret', algorithm='HS256')                            # 加密生成字符串
print(token)

payload = jwt.decode(token, 'secret', issuer='lianzong', algorithms=['HS256'])  # 解密，校驗簽名
print(s)
print(type(s))

dic 有官方指定的 key，程序在解密的時候會根據 key 的 Value 判斷是否合法。這些 key 有：

"exp"：在生成 token 時，可以設置該 token 的有效時間，如果我們設置 1 天過期，1 天后我們再解析此 token 會拋出