Python JWT 介紹和使用詳解
1. JWT 介紹
jwt( JSON Web Tokens ),是一種開(kāi)發(fā)的行業(yè)標(biāo)準(zhǔn) RFC 7519 ,用于安全的表示雙方之間的聲明。目前,jwt廣泛應(yīng)用在系統(tǒng)的用戶(hù)認(rèn)證方面,特別是現(xiàn)在前后端分離項(xiàng)目
jwt認(rèn)證流程:
在項(xiàng)目開(kāi)發(fā)中,一般會(huì)按照上圖所示的過(guò)程進(jìn)行認(rèn)證,即:用戶(hù)登錄成功之后,服務(wù)端給用戶(hù)瀏覽器返回一個(gè) token,以后用戶(hù)瀏覽器要攜帶 token 再去向服務(wù)端發(fā)送請(qǐng)求,服務(wù)端校驗(yàn) token 的合法性,合法則給用戶(hù)看數(shù)據(jù),否則,返回一些錯(cuò)誤信息
傳統(tǒng)token方式和jwt在認(rèn)證方面有什么差異?
傳統(tǒng) token 方式
:用戶(hù)登錄成功后,服務(wù)端生成一個(gè)隨機(jī) token 給用戶(hù),并且在服務(wù)端(數(shù)據(jù)庫(kù)或緩存)中保存一份 token,以后用戶(hù)再來(lái)訪問(wèn)時(shí)需攜帶 token,服務(wù)端接收到 token 之后,去數(shù)據(jù)庫(kù)或緩存中進(jìn)行校驗(yàn) token 的是否超時(shí)、是否合法jwt 方式
:用戶(hù)登錄成功后,服務(wù)端通過(guò) jwt 生成一個(gè)隨機(jī) token 給用戶(hù)(服務(wù)端無(wú)需保留 token),以后用戶(hù)再來(lái)訪問(wèn)時(shí)需攜帶token,服務(wù)端接收到 token 之后,通過(guò) jwt 對(duì) token 進(jìn)行校驗(yàn)是否超時(shí)、是否合法
2. JWT 創(chuàng)建 token
2.1 JWT 生成原理
jwt 的生成 token 格式如下,即:由 . 連接的三段字符串組成
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lI
iwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
生成規(guī)則如下:
第一段 HEADER
部分,固定包含算法和 token 類(lèi)型,對(duì)此 json 進(jìn)行 base64url 加密,這就是 token
的第一段
{ "alg": "HS256", "typ": "JWT" }
第二段 PAYLOAD
部分,包含一些數(shù)據(jù),對(duì)此json進(jìn)行base64url加密,這就是token的第二段
{ "sub": "1234567890", "name": "John Doe", "iat": 1516239022 ... }
第三段 SIGNATURE
部分,把前兩段的 base64url 密文通過(guò). 拼接起來(lái),然后對(duì)其進(jìn)行 HS256 加密,再然后對(duì)hs256 密文進(jìn)行 base64url 加密,最終得到 token 的第三段
base64url( HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), your-256-bit-secret (秘鑰加鹽) ) )
最后將三段字符串通過(guò) . 拼接起來(lái)就生成了 jwt 的 token
注意:base64url 加密是先做 base64 加密,然后再將 - 替代 + 及 _ 替代 /
2.2 JWT 校驗(yàn) token 原理
一般在認(rèn)證成功后,把 jwt 生成的 token 返回給用戶(hù),以后用戶(hù)再次訪問(wèn)時(shí)候需要攜帶 token,此時(shí) jwt 需要對(duì)token 進(jìn)行超時(shí)及合法性校驗(yàn)
獲取 token 之后,會(huì)按照以下步驟進(jìn)行校驗(yàn):
將token分割成 header_segment
、payload_segment
、crypto_segment
三部分
JWT_TOKEN = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c" signing_input, crypto_segment = JWT_TOKEN.rsplit('.', 1) header_segment, payload_segment = signing_input.split('.', 1)
對(duì)第一部分header_segment 進(jìn)行 base64url 解密,得到 header
對(duì)第二部分payload_segment 進(jìn)行 base64url 解密,得到 payload
對(duì)第三部分crypto_segment 進(jìn)行 base64url 解密,得到 signature
,針對(duì) signature
部分?jǐn)?shù)據(jù)進(jìn)行合法性校驗(yàn)
- 拼接前兩段密文,即:
signing_input
- 從第一段明文中獲取加密算法,默認(rèn):
HS256
- 使用算法+鹽 對(duì)
signing_input
進(jìn)行加密,將得到的結(jié)果和signature
密文進(jìn)行比較
3. 代碼實(shí)現(xiàn)
基于 Python 的 pyjwt 模塊創(chuàng)建 jwt 的 token
安裝
pip3 install pyjwt
實(shí)現(xiàn)
from datetime import datetime, timedelta import jwt class JwtToken(object): _salt = "@^4_00wedv**pi)+(!w1rwi=d3q4l=ie=g-u$s8jevmj*zgg2h" _expire_message = dict(code=1200, msg="token 已經(jīng)失效") _unknown_error_message = dict(code=4200, msg="token 解析失敗") @classmethod def generate_token(cls, payload: dict) -> str: headers = dict(typ="jwt", alg="HS256") resut = jwt.encode(payload=payload, key=cls._salt, algorithm="HS256", headers=headers) return resut @classmethod def parse_token(cls, token: str) -> tuple: verify_status = False try: payload_data = jwt.decode(token, cls._salt, algorithms=['HS256']) verify_status = True except jwt.ExpiredSignatureError: payload_data = cls._expire_message except Exception as _err: payload_data = cls._unknown_error_message return verify_status, payload_data if __name__ == '__main__': TEST_DATA = dict(name="mooor", exp=datetime.utcnow() - timedelta(seconds=1)) token = JwtToken.generate_token(TEST_DATA) print(token) payload = JwtToken.parse_token(token) print(payload)
注意:exp 務(wù)必選擇 UTC
時(shí)間
Expiration time will be compared to the current UTC time (as given by timegm(datetime.utcnow().utctimetuple())), so be sure to use a UTC timestamp or datetime in encoding
4. 參數(shù)介紹
4.1 示例:
import jwt import datetime dic = { 'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1), # 過(guò)期時(shí)間 'iat': datetime.datetime.utcnow(), # 開(kāi)始時(shí)間 'iss': 'ChaosMoor', # 簽名 'data': { # 內(nèi)容,一般存放該用戶(hù)id和開(kāi)始時(shí)間 'a': 1, 'b': 2, }, } token = jwt.encode(dic, 'secret', algorithm='HS256') # 加密生成字符串 print(token) payload = jwt.decode(token, 'secret', issuer='lianzong', algorithms=['HS256']) # 解密,校驗(yàn)簽名 print(s) print(type(s))
dic 有官方指定的 key,程序在解密的時(shí)候會(huì)根據(jù) key 的 Value 判斷是否合法。這些 key 有:
"exp
":在生成 token 時(shí),可以設(shè)置該 token 的有效時(shí)間,如果我們?cè)O(shè)置 1 天過(guò)期,1 天后我們?cè)俳馕龃?token 會(huì)拋出
jwt.exceptions.ExpiredSignatureError: Signature has expired
"nbf
":它指的是該 token 的生效時(shí)間,如果使用但是沒(méi)到生效時(shí)間則拋出:
jwt.exceptions.ImmatureSignatureError: The token is not yet valid (nbf)
"iss
": token 的簽發(fā)者,我們可以給他一個(gè)字符串,注意,iss 在接收時(shí)如果不檢驗(yàn)也沒(méi)有問(wèn)題,如果我們接收時(shí)需要檢驗(yàn)但是又簽名不一致,則會(huì)拋出
jwt.exceptions.InvalidIssuerError: Invalid issuer
"aud
":指定了接收者,接收者在接收時(shí)必須提供與 token 要求的一致的接收者(字符串),如果沒(méi)寫(xiě)接收者或者接收者不一致會(huì)拋出
jwt.exceptions.InvalidAudienceError: Invalid audience
"iat
":token 的開(kāi)始時(shí)間,如果當(dāng)前時(shí)間在開(kāi)始時(shí)間之前則拋出
jwt.exceptions.InvalidIssuedAtError: Issued At claim (iat) cannot be in the future.
4.2 PyJWT 官方文檔
https://pyjwt.readthedocs.io/en/latest/usage.html
到此這篇關(guān)于Python JWT 介紹和使用詳解的文章就介紹到這了,更多相關(guān)Python JWT使用內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家!
- python中JWT用戶(hù)認(rèn)證的實(shí)現(xiàn)
- Python 基于jwt實(shí)現(xiàn)認(rèn)證機(jī)制流程解析
- Python 身份驗(yàn)證和授權(quán)庫(kù)使用詳解(python jwt庫(kù))
- python-jwt用戶(hù)認(rèn)證食用教學(xué)的實(shí)現(xiàn)方法
- Python JWT認(rèn)證與pyjwt包詳細(xì)介紹
- Python?PyJWT庫(kù)簡(jiǎn)化JSON?Web?Token的生成與驗(yàn)證
- Python使用JWT的超詳細(xì)教程
- Python結(jié)合jwt實(shí)現(xiàn)登錄權(quán)限校驗(yàn)認(rèn)證
- Python實(shí)現(xiàn)JWT加解密的示例代碼
相關(guān)文章
Python中的文件和目錄操作實(shí)現(xiàn)代碼
對(duì)于文件和目錄的處理,雖然可以通過(guò)操作系統(tǒng)命令來(lái)完成,但是Python語(yǔ)言為了便于開(kāi)發(fā)人員以編程的方式處理相關(guān)工作,提供了許多處理文件和目錄的內(nèi)置函數(shù)。重要的是,這些函數(shù)無(wú)論是在Unix、Windows還是Macintosh平臺(tái)上,它們的使用方式是完全一致的。2011-03-03Python3網(wǎng)絡(luò)爬蟲(chóng)中的requests高級(jí)用法詳解
本節(jié)我們?cè)賮?lái)了解下 Requests 的一些高級(jí)用法,如文件上傳,代理設(shè)置,Cookies 設(shè)置等等。感興趣的朋友跟隨小編一起看看吧2019-06-06python語(yǔ)言實(shí)現(xiàn)貪吃蛇游戲
這篇文章主要為大家詳細(xì)介紹了python語(yǔ)言實(shí)現(xiàn)貪吃蛇游戲,文中示例代碼介紹的非常詳細(xì),具有一定的參考價(jià)值,感興趣的小伙伴們可以參考一下2020-11-11使用Django搭建一個(gè)基金模擬交易系統(tǒng)教程
今天小編就為大家分享一篇使用Django搭建一個(gè)基金模擬交易系統(tǒng)教程,具有很好的參考價(jià)值,希望對(duì)大家有所幫助。一起跟隨小編過(guò)來(lái)看看吧2019-11-11Python趣味挑戰(zhàn)之pygame實(shí)現(xiàn)無(wú)敵好看的百葉窗動(dòng)態(tài)效果
最近寫(xiě)了很多期關(guān)于pygame的案例和知識(shí)點(diǎn),自己也收獲了很多知識(shí),也在這個(gè)過(guò)程中成長(zhǎng)了不少, 這次還是圍繞surface對(duì)象進(jìn)行詳細(xì)介紹,并形成完整的案例過(guò)程,文中有非常詳細(xì)實(shí)現(xiàn)百葉窗動(dòng)態(tài)效果的代碼示例,需要的朋友可以參考下2021-05-05Python實(shí)現(xiàn)自動(dòng)發(fā)消息自定義內(nèi)容的操作代碼
這篇文章主要介紹了Python實(shí)現(xiàn)自動(dòng)發(fā)消息自定義內(nèi)容的操作代碼,本文給大家介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2021-08-08淺談Django中的數(shù)據(jù)庫(kù)模型類(lèi)-models.py(一對(duì)一的關(guān)系)
今天小編就為大家分享一篇淺談Django中的數(shù)據(jù)庫(kù)模型類(lèi)-models.py(一對(duì)一的關(guān)系),具有很好的參考價(jià)值,希望對(duì)大家有所幫助。一起跟隨小編過(guò)來(lái)看看吧2018-05-05Python 3.8中實(shí)現(xiàn)functools.cached_property功能
這篇文章主要介紹了Python 3.8中實(shí)現(xiàn)functools.cached_property功能,本文通過(guò)實(shí)例代碼給大家介紹的非常詳細(xì),具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2019-05-05