【Python】PyJWT：Token验证

最新推荐文章于 2025-04-07 18:23:35 发布
最新推荐文章于 2025-04-07 18:23:35 发布
阅读量1.4k 收藏 9
点赞数 11
分类专栏： Python全栈开发 文章标签： python 网络 开发语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2303_80346267/article/details/143880988
版权

JSON Web Token (JWT) 是一种基于 JSON 格式的轻量级的安全令牌，通常用于身份验证和信息交换。Python 的 PyJWT 是一个流行的库，用于处理 JWT。本文将从零开始，带你逐步学习 PyJWT 的基本用法、原理以及进阶功能。

什么是 JWT

JWT 的组成

JWT 是由三部分组成的字符串：

  • Header（头部）：声明类型和签名算法。
  • Payload（载荷）：存储数据（通常是用户信息或声明）。
  • Signature（签名）：对 Header 和 Payload 进行签名，确保数据未被篡改。

它们通过 . 分隔，整体形式为：

Header.Payload.Signature

例如：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX2lkIjoxMjMsIm5hbWUiOiJKb2UiLCJyb2xlIjoiYWRtaW4ifQ.4zUHL8hfXX8E8OomNQByT3MHnfoyQh27-8r1ZjXv9Fo

JWT 的工作流程

  1. 生成令牌：用户登录时，服务器验证用户身份，并生成 JWT。
  2. 携带令牌：JWT 通常通过 HTTP Header 的 Authorization 字段传递。
  3. 验证令牌：服务器收到请求后，验证 JWT 的签名是否有效，确认信息是否未被篡改。

安装 PyJWT

在开始使用 PyJWT 之前，先安装它：

pip install PyJWT

生成 JWT

创建简单的 JWT

下面是如何使用 PyJWT 生成一个简单的 JWT：

import jwt
import datetime

# 定义密钥和算法
SECRET_KEY = "your_secret_key"
ALGORITHM = "HS256"

# 生成 JWT
payload = {
    "user_id": 123,
    "name": "John Doe",
    "role": "admin",
    "exp": datetime.datetime.utcnow() + datetime.timedelta(hours=1)  # 设置过期时间
}

token = jwt.encode(payload, SECRET_KEY, algorithm=ALGORITHM)
print("Generated JWT:", token)

代码说明：

  1. payload 是载荷，其中 exp 是过期时间。
  2. jwt.encode 用于生成 JWT。

解码 JWT

要解码生成的 JWT 并查看数据：

decoded_payload = jwt.decode(token, SECRET_KEY, algorithms=[ALGORITHM])
print("Decoded Payload:", decoded_payload)

检查过期时间

如果令牌过期，会抛出 jwt.ExpiredSignatureError 异常：

try:
    decoded_payload = jwt.decode(token, SECRET_KEY, algorithms=[ALGORITHM])
    print("Decoded Payload:", decoded_payload)
except jwt.ExpiredSignatureError:
    print("Token has expired!")

JWT 的签名和验证

PyJWT 支持多种算法，如：

  • 对称算法：HS256, HS384, HS512
  • 非对称算法：RS256, ES256

对称加密

对称加密使用单一密钥签名和验证：

# 对称加密签名
token = jwt.encode(payload, SECRET_KEY, algorithm="HS256")

# 验证签名
decoded_payload = jwt.decode(token, SECRET_KEY, algorithms=["HS256"])

非对称加密

非对称加密使用公钥和私钥。示例：

  1. 生成密钥（假设已有 RSA 密钥对）。

  2. 签名和验证：

    private_key = open("private_key.pem").read()
public_key = open("public_key.pem").read()

# 使用私钥签名
token = jwt.encode(payload, private_key, algorithm="RS256")

# 使用公钥验证
decoded_payload = jwt.decode(token, public_key, algorithms=["RS256"])

高级功能

自定义声明

除了标准声明（如 exp、iat），你可以添加自定义字段：

payload = {
    "user_id": 123,
    "role": "editor",
    "permissions": ["read", "write"],
    "iat": datetime.datetime.utcnow(),  # 签发时间
    "exp": datetime.datetime.utcnow() + datetime.timedelta(days=1)  # 过期时间
}
token = jwt.encode(payload, SECRET_KEY, algorithm="HS256")

设置过期时间

exp 是 JWT 的标准声明，用于指定过期时间。

payload = {
    "user_id": 123,
    "exp": datetime.datetime.utcnow() + datetime.timedelta(minutes=15)
}

令牌刷新

令牌刷新可以延长用户登录会话时间：

# 原令牌
token = jwt.encode(payload, SECRET_KEY, algorithm="HS256")

# 解码并刷新
decoded = jwt.decode(token, SECRET_KEY, algorithms=["HS256"], options={"verify_exp": False})
decoded["exp"] = datetime.datetime.utcnow() + datetime.timedelta(minutes=15)

# 生成新令牌
refreshed_token = jwt.encode(decoded, SECRET_KEY, algorithm="HS256")

常见错误及解决方法

Token 已过期

错误信息：jwt.ExpiredSignatureError

解决方法：在 jwt.decode 时捕获异常。

try:
    decoded_payload = jwt.decode(token, SECRET_KEY, algorithms=[ALGORITHM])
except jwt.ExpiredSignatureError:
    print("Token has expired!")

签名验证失败

错误信息：jwt.InvalidSignatureError

解决方法：确保签名密钥正确，并使用相同的算法。

实战：JWT 身份验证示例

以下是一个基于 Fastapi的示例，实现用户登录和令牌验证：

from fastapi import FastAPI, Depends, HTTPException
from fastapi.security import OAuth2PasswordBearer, OAuth2PasswordRequestForm
import jwt
import datetime
from typing import Dict, Optional

# ==========================
# 配置和常量
# ==========================
SECRET_KEY = "your_secret_key"  # JWT 密钥
ALGORITHM = "HS256"            # JWT 算法
TOKEN_EXPIRE_HOURS = 1         # 令牌有效时间（小时）

# OAuth2PasswordBearer 定义，用于获取用户的令牌
oauth2_scheme = OAuth2PasswordBearer(tokenUrl="token")


# ==========================
# 用户服务类
# ==========================
class UserService:
    """
    用户服务类：负责用户身份验证和管理
    """
    def __init__(self):
        # 模拟数据库：用户名和密码
        self.users_db = {
            "admin": "password123",
            "user": "mypassword"
        }

    def authenticate(self, username: str, password: str) -> bool:
        """
        验证用户名和密码是否匹配
        :param username: 用户名
        :param password: 密码
        :return: 验证是否成功
        """
        return self.users_db.get(username) == password


# ==========================
# JWT 工具类
# ==========================
class JWTHandler:
    """
    JWT 工具类：负责生成和验证 JWT
    """
    @staticmethod
    def create_token(username: str, expire_hours: int = TOKEN_EXPIRE_HOURS) -> str:
        """
        生成 JWT
        :param username: 用户名
        :param expire_hours: 令牌有效时间
        :return: 生成的 JWT 字符串
        """
        payload = {
            "sub": username,  # 声明主体
            "exp": datetime.datetime.utcnow() + datetime.timedelta(hours=expire_hours)  # 过期时间
        }
        return jwt.encode(payload, SECRET_KEY, algorithm=ALGORITHM)

    @staticmethod
    def verify_token(token: str) -> Optional[Dict]:
        """
        验证 JWT 并解码
        :param token: JWT 字符串
        :return: 解码后的 Payload，如果无效则返回 None
        """
        try:
            return jwt.decode(token, SECRET_KEY, algorithms=[ALGORITHM])
        except jwt.ExpiredSignatureError:
            raise HTTPException(status_code=401, detail="令牌已过期")
        except jwt.InvalidTokenError:
            raise HTTPException(status_code=401, detail="令牌无效")


# ==========================
# 依赖注入类
# ==========================
class Dependencies:
    """
    依赖注入类，用于解耦依赖
    """
    def __init__(self, user_service: UserService, jwt_handler: JWTHandler):
        self.user_service = user_service
        self.jwt_handler = jwt_handler

    def authenticate_user(self, form_data: OAuth2PasswordRequestForm) -> str:
        """
        验证用户并生成 JWT
        :param form_data: 用户提交的表单数据（包含用户名和密码）
        :return: JWT
        """
        username = form_data.username
        password = form_data.password
        if not self.user_service.authenticate(username, password):
            raise HTTPException(status_code=401, detail="用户名或密码错误")
        return self.jwt_handler.create_token(username)

    def validate_token(self, token: str) -> str:
        """
        验证 Token 并返回用户名
        :param token: JWT
        :return: 解码后的用户名
        """
        payload = self.jwt_handler.verify_token(token)
        username = payload.get("sub")
        if not username:
            raise HTTPException(status_code=401, detail="无效的令牌")
        return username


# ==========================
# 创建 FastAPI 应用
# ==========================
app = FastAPI()

# 实例化服务类
user_service = UserService()
jwt_handler = JWTHandler()
dependencies = Dependencies(user_service, jwt_handler)


# ==========================
# 路由定义
# ==========================
@app.post("/token")
async def login(form_data: OAuth2PasswordRequestForm = Depends()):
    """
    登录接口：验证用户并返回 Token
    :param form_data: FastAPI 提供的 OAuth2PasswordRequestForm
    :return: 包含 Token 的 JSON
    """
    token = dependencies.authenticate_user(form_data)
    return {"access_token": token, "token_type": "bearer"}


@app.get("/protected")
async def protected(token: str = Depends(oauth2_scheme)):
    """
    受保护的接口：需要提供有效 Token 才能访问
    :param token: OAuth2PasswordBearer 自动提取的 JWT
    :return: 欢迎信息
    """
    username = dependencies.validate_token(token)
    return {"message": f"欢迎回来，{username}！您的访问已被授权。"}


# ==========================
# 主程序入口（仅调试使用）
# ==========================
if __name__ == "__main__":
    import uvicorn
    uvicorn.run(app, host="127.0.0.1", port=8000)

代码说明

  1. FastAPI 的 OAuth2PasswordBearer
    • OAuth2PasswordBearer 是 FastAPI 提供的工具，用于从请求头中自动提取和验证 Bearer 类型的 Token。
    • 通过 Depends(oauth2_scheme) 可以在路由中轻松获取 Token。
  2. JWT 生成和解码
    • 使用 jwt.encode 生成包含用户信息的 JWT。
    • 使用 jwt.decode 验证和解码 JWT，并处理可能的异常，如令牌过期或无效。
  3. 路由说明
    • /token：用于登录，验证用户名和密码，返回 Token。
    • /protected：受保护的接口，只有提供有效 Token 的用户才能访问。
  4. 错误处理
    • 如果用户的用户名或密码错误，会返回 401 错误。
    • 如果 Token 无效或过期，也会返回 401 错误。

测试流程

  1. 安装依赖 确保安装了 fastapi 和 uvicorn：

    pip install fastapi uvicorn PyJWT

  2. 启动服务 运行代码后，访问 http://127.0.0.1:8000/docs 打开 FastAPI 自动生成的 API 文档页面。

  3. 测试接口

    • 登录接口 使用 /token，提交用户名和密码获取 Token。
    • 受保护接口 使用 /protected，在请求头中添加 Authorization: Bearer <token> 来访问。

总结

在这篇文章中，我们深入探讨了 JSON Web Token（JWT）的基本原理，尤其是如何使用 PyJWT 库来生成、解码和验证令牌。我们首先了解了 JWT 的工作机制，并学习了签名算法及其进阶功能，以确保令牌的安全性和可靠性。此外，我们还讨论了一些常见问题及其解决方法，以便帮助你更好地应对这些在实际应用中可能遇到的挑战。最后，我们通过一个完整的 JWT 身份验证实例，将理论与实践相结合，希望能为你的项目提供有价值的参考。掌握这些内容后，你将能够灵活地在自己的 Web 应用中应用 JWT，提升系统的安全性和用户体验。

Python实现JWT加解密
students33的博客
01-15 1520
JWT（JSON Web Tokens）是一种用于在网络应用环境间安全地传输信息的简洁的、URL安全的令牌标准。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。
python下JWT实现Token认证
zhang_zekun的博客
11-16 2276
为什么使用JWT？ 随着技术的发展，分布式web应用的普及，通过session管理用户登录状态成本越来越高，因此慢慢发展成为token的方式做登录身份校验，然后通过token去取redis中的缓存的用户信息，随着之后jwt的出现，校验方式更加简单便捷化，无需通过redis缓存，而是直接根据token取出保存的用户信息，以及对token可用性校验，单点登录更为简单。 JWT架构图 这里需要进行提醒...
【Python】PyJWT：轻松实现 JSON Web Token (JWT) 网络令牌的生成与验证
Unity打怪升级
09-28 2700
PyJWT 是一个用 Python 实现的轻量级库，用于处理 JSON Web Token (JWT)。JWT 是一种安全的方式，用来表示双方之间经过签名的令牌，通常用于认证和授权场景。PyJWT 简化了 JWT 的生成和验证过程，使得开发者能够轻松地在 Python 项目中集成 JWT 功能。
python实现JWT权限校验
最新发布
wedled的博客
04-07 1012
本篇文章是python结合fastAPI架构实现，原理较为简单。可扩展性很强，由于项目较小并没使用redis。但结合时间戳实现了token超时校验，代码分为4部分，其中工具类两个models.py、dependencies.py，其中包含详细注解。用户登录生成token类user.py和需要校验token的接口添加token校验的例子类address.py好的所有类介绍完毕，下面开始。
Python 生成 JWT(json web token) 及 解析方式
python学习者的博客
12-23 3854
一.python 对于 jwt 的实现, 目前已经存在了一些第三方的库, 相信学习过 python 的程序猿都知道 itsdangerous 这个库了, 它的底层原理就是基于 jwt 进行实现的 这里需要进行提醒的是: itsdangerous (使用固定密钥/字符串进行加密, jwt 有多种加密方式, 这只是其中一种, 建议先去了解一下)所生成的 token 仍然是可以被破译从而看到 jwt 的...
Python实现Token详解，JWT
热门推荐
捷的博客
06-02 1万+
文章目录Python实现Token详解一、引言二、原理三、python实现JWT-token四、JWT - Json-Web-Token4.1具体组成4.2具体实现4.3校验JWT Python实现Token详解 一、引言 Token是目前广泛使用的一种保持会话状态的技术，与以前的cookie、session共同存在于如今各大网站架构中。本篇中，我们着重来讲解在python中，怎样实现token。 首先，我们来看一下session的主要缺点： 当我们在使用session保持会话状态，同时验证用户的合法性
【Python】Python使用Pyjwt库生成Token
晴天のVlog
12-27 908
【代码】【Python】Python使用Pyjwt库生成Token。
Python：使用PyJWT实现JSON Web Tokens加密解密
彭世瑜的博客
07-26 5224
科普 JSON Web Token 入门教程 Json Web Token JWT三部分组成： （1）Header （2）Payload （3）Signature Base64URL 算法： Base64 有三个字符+、/和=，在 URL 里面有特殊含义， 所以要被替换掉：=被省略、+替换成-，/替换成_ 代码实现 github:https://github.com/jpadilla/pyjwt/...
pyjwt：Python中的JSON Web令牌实现
02-05
在Python中，`pyjwt`库是实现JWT的主要工具，用于创建和验证这些令牌。 `pyjwt`库提供了方便的API，使得在Python应用程序中处理JWT变得简单。下面我们将详细探讨`pyjwt`库的功能、使用方法以及相关的JWT概念。 1. ...
Python 详解PyJWT生成Token
Disany的博客
10-29 5672
jwt 简介 JSON WEB Token（JWT），一种用以产生访问令牌（token）的开源标准；是目前Token鉴权机制下最流行的方案。 PyJWT是一个Python库，官方文档，安装如下： pip install pyjwt jwt 编码 我们参考上图来举个栗子！！！ import jwt from datetime import datetime, timedelta payload = { 'exp': datetime.now() + timedelta(minutes=30),
Python PyJWT库：简化JSON Web Token的生成与验证
涛哥聊Python
12-07 4605
PyJWT是一个用于生成和验证JWT的Python库，它实现了JWT标准（RFC 7519），提供了简单而强大的API。PyJWT是一款强大的Python库，为开发者提供了便捷而安全的JSON Web Token（JWT）生成和验证工具。通过深入了解PyJWT的核心概念、基本用法和高级选项，探索了其在实际应用中的广泛应用场景。在用户认证方面，PyJWT使得创建安全的认证系统变得轻而易举。通过生成JWT，用户可以方便地获得令牌，实现简单而高效的身份验证。
Python-pythonjwt一个用来生成和验证JSONWebTokens的模块
08-11
python-jwt：一个用来生成和验证 JSON Web Tokens的模块
PyJWT：探索JSON Web Token的Python库
资源摘要信息:"PyJWT：JSON Web Token的一个Python实现-python" 知识点： 1. PyJWT的定义和用途： PyJWT是一个Python库，用于处理JSON Web Tokens（JWT）。JWT是一种开放标准（RFC 7519），用于在网络应用环境间...
python，自定义token生成
weixin_46371752的博客
06-16 681
python生成token，token，如何生成token，python实现token，创建token，自定义token
python jwt token登入 介绍及生成
qq_60954460的博客
09-29 1637
python是我们常见的以及最简单的编程语言之一，它拥有很多的三方模块，下面介绍jwt token的应用。
python PyJWT 使用
极客点儿
01-16 9507
在程序开发中，用户认证授权是一个绕不过的重难点。以前的开发模式下，cookie 和 session 认证是主流，随着前后端分离的趋势，基于 Token 的认证方式成为主流，而 JWT 是基于 Token 认证方式的一种机制，是实现单点登录认证的一种有效方法 PyJWT 是一个用来编码和解码 JWT（JSON Web Tokens） 的 Python 库，也可以用在 Flask 。，PyJWT 用来...
python-jwt 生成token
weixin_44517891的博客
04-19 779
一、安装 pip3 install pyjwt import jwt import time def get_token() payloads = { "iat": math.floor(int(time.time() * 1000) / (1000 * 3600)) * 3600, "_appId": base.appid } headers = {'alg': 'HS256', 'typ': 'JWT'}
pyjwt，一个强大的 Python 库！
轻编程的博客
02-16 1510
PyJWT是一个用于创建、解析和验证JSON Web Tokens（JWT）的Python库。JWT是一种紧凑且自包含的方式，用于在网络应用之间安全地传输信息。它由三部分组成：头部、载荷和签名。PyJWT库能够轻松地处理JWT，并在Python应用程序中实现身份验证和信息传输的安全性。除了使用默认的过期时间外，PyJWT还可以自定义过期时间处理逻辑，以满足特定的需求。例如，可以在解析JWT时检查过期时间，并根据情况进行处理。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值