Flask中的JWT认证构建安全的用户身份验证系统

最新推荐文章于 2024-06-04 09:57:07 发布
最新推荐文章于 2024-06-04 09:57:07 发布
阅读量960 收藏 15
点赞数 23
分类专栏： 程序员 文章标签： flask 安全 python
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84969746/article/details/138751742
版权 
        data = jwt.decode(token, app.config['SECRET\_KEY'])
    except:
        return jsonify({'message': 'Token is invalid!'}), 403

    return f(\*args, \*\*kwargs)

return decorated

登录路由

@app.route(‘/login’)
def login():
auth = request.authorization

if auth and auth.username in users and users[auth.username] == auth.password:
    token = jwt.encode({'username': auth.username}, app.config['SECRET\_KEY'])
    return jsonify({'token': token.decode('UTF-8')})

return jsonify({'message': 'Authentication failed!'}), 401

受保护的路由

@app.route(‘/protected’)
@token_required
def protected():
return jsonify({‘message’: ‘Protected resource!’})

if name == ‘__main__’:
app.run()


在上面的示例中，我们首先导入所需的库，并设置了用于签名JWT的密钥。然后，我们模拟了一个简单的用户数据库，并创建了一个装饰器`token_required`，用于验证JWT令牌。接着，我们定义了两个路由：`/login`用于登录并生成JWT令牌，`/protected`是一个受保护的资源，需要提供有效的JWT令牌才能访问。


#### 进一步示例代码


##### 用户管理


在用户管理方面，我们可以扩展我们的示例代码以支持用户注册、管理和密码重置。下面是一个简单的示例：

用户数据库

users = {
‘username’: {‘password’: ‘hashed_password’, ‘email’: ‘user@example.com’}
}

注册路由

@app.route(‘/register’, methods=[‘POST’])
def register():
data = request.get_json()
username = data.get(‘username’)
password = data.get(‘password’)
email = data.get(‘email’)

if username in users:
    return jsonify({'message': 'Username already exists!'}), 400

# 在实际应用中，密码应该进行哈希处理，以增加安全性
users[username] = {'password': password, 'email': email}
return jsonify({'message': 'User registered successfully!'}), 201


##### 令牌刷新


为了实现令牌刷新机制，我们可以添加一个额外的路由来接受令牌并返回新的令牌。下面是一个简单的示例：

令牌刷新路由

@app.route(‘/refresh_token’, methods=[‘POST’])
@token_required
def refresh_token():
token = request.args.get(‘token’)

try:
    data = jwt.decode(token, app.config['SECRET\_KEY'], algorithms=['HS256'], options={'verify\_exp': False})
    new_token = jwt.encode({'username': data['username']}, app.config['SECRET\_KEY'])
    return jsonify({'token': new_token.decode('UTF-8')})
except:
    return jsonify({'message': 'Token is invalid!'}), 403


在这个示例中，我们使用了一个额外的路由`/refresh_token`来接受一个旧的JWT令牌，并使用相同的用户信息生成一个新的令牌。需要注意的是，我们关闭了过期验证选项，以便在旧令牌过期后生成新令牌。


通过实现这些功能，我们可以进一步增强我们的用户身份验证系统，并提供更好的用户体验和安全性。这些示例代码可以作为起点，帮助您构建出更完整和功能强大的应用程序。


#### 日志和监控


在实际应用中，添加日志记录和监控功能对于跟踪和分析用户活动以及识别潜在的安全问题至关重要。下面是一个简单的示例，演示如何使用Flask内置的日志记录功能来记录请求信息：

import logging

设置日志记录级别

logging.basicConfig(level=logging.INFO)

登录路由

@app.route(‘/login’)
def login():
auth = request.authorization

logging.info(f"Login attempt with username: {auth.username}")

if auth and auth.username in users and users[auth.username] == auth.password:
    token = jwt.encode({'username': auth.username}, app.config['SECRET\_KEY'])
    logging.info(f"Login successful for username: {auth.username}")
    return jsonify({'token': token.decode('UTF-8')})

logging.info(f"Login failed for username: {auth.username}")
return jsonify({'message': 'Authentication failed!'}), 401


通过添加日志记录，我们可以在服务器端记录每次登录尝试的详细信息，以便后续分析和监控。


#### 安全性增强


为了增强安全性，我们可以采取一些额外的措施来保护用户身份验证过程中的敏感信息。下面是一些建议：


* **使用HTTPS**：通过使用HTTPS来加密通信，可以防止中间人攻击和窃听，从而保护用户的凭据和数据。
* **限制登录尝试次数**：实施登录尝试次数限制和锁定账户机制，以防止暴力破解密码。
* **密码哈希存储**：对用户密码进行哈希处理，并采用适当的哈希算法和盐值来增加密码的安全性。


#### 完整示例代码


下面是经过改进和扩展的完整示例代码，包括用户管理、令牌刷新、日志记录和安全性增强：

from flask import Flask, request, jsonify
import jwt
import logging
from functools import wraps

app = Flask(name)
app.config[‘SECRET_KEY’] = ‘your_secret_key’

模拟用户数据库

users = {
‘username’: {‘password’: ‘hashed_password’, ‘email’: ‘user@example.com’}
}

设置日志记录级别

logging.basicConfig(level=logging.INFO)

身份验证装饰器

def token_required(f):
@wraps(f)
def decorated(*args, **kwargs):
token = request.args.get(‘token’)

    if not token:
        return jsonify({'message': 'Token is missing!'}), 403

    try:
        data = jwt.decode(token, app.config['SECRET\_KEY'])
    except:
        return jsonify({'message': 'Token is invalid!'}), 403

    return f(\*args, \*\*kwargs)

return decorated

注册路由

@app.route(‘/register’, methods=[‘POST’])
def register():
data = request.get_json()
username = data.get(‘username’)
password = data.get(‘password’)
email = data.get(‘email’)

if username in users:
    return jsonify({'message': 'Username already exists!'}), 400

# 在实际应用中，密码应该进行哈希处理，以增加安全性
users[username] = {'password': password, 'email': email}
return jsonify({'message': 'User registered successfully!'}), 201

登录路由

@app.route(‘/login’)
def login():
auth = request.authorization

logging.info(f"Login attempt with username: {auth.username}")

if auth and auth.username in users and users[auth.username]['password'] == auth.password:
    token = jwt.encode({'username': auth.username}, app.config['SECRET\_KEY'])
    logging.info(f"Login successful for username: {auth.username}")
    return jsonify({'token': token.decode('UTF-8')})

logging.info(f"Login failed for username: {auth.username}")
return jsonify({'message': 'Authentication failed!'}), 401

令牌刷新路由

@app.route(‘/refresh_token’, methods=[‘POST’])
@token_required
def refresh_token():
token = request.args.get(‘token’)

try:
    data = jwt.decode(token, app.config['SECRET\_KEY'], algorithms=['HS256'], options={'verify\_exp': False})
    new_token = jwt.encode({'username': data['username']}, app.config['SECRET\_KEY'])
    return jsonify({'token': new_token.decode('UTF-8')})
except:
    return jsonify({'message': 'Token is invalid!'}), 403

受保护的路由

@app.route(‘/protected’)
@token_required
def protected():
return jsonify({‘message’: ‘Protected resource!’})

if name == ‘__main__’:
app.run()


通过结合用户管理、令牌刷新、日志记录和安全性增强，我们可以构建一个更加完善和安全的用户身份验证系统。这个示例提供了一个起点，您可以根据实际需求进一步定制和扩展。


#### HTTPS支持


在实际部署中，为了增强安全性，我们应该使用HTTPS来加密通信，防止中间人攻击和窃听。下面是如何在Flask应用程序中启用HTTPS支持的示例代码：

from flask import Flask, request, jsonify
import jwt
import logging
from functools import wraps
from OpenSSL import SSL

app = Flask(name)
app.config[‘SECRET_KEY’] = ‘your_secret_key’

模拟用户数据库

users = {
‘username’: {‘password’: ‘hashed_password’, ‘email’: ‘user@example.com’}
}

设置日志记录级别

logging.basicConfig(level=logging.INFO)

身份验证装饰器

def token_required(f):
@wraps(f)
def decorated(*args, **kwargs):
token = request.args.get(‘token’)

    if not token:
        return jsonify({'message': 'Token is missing!'}), 403

    try:
        data = jwt.decode(token, app.config['SECRET\_KEY'])
    except:
        return jsonify({'message': 'Token is invalid!'}), 403

    return f(\*args, \*\*kwargs)

return decorated

注册路由、登录路由、令牌刷新路由和受保护的路由保持不变

if name == ‘__main__’:
context = (‘cert.pem’, ‘key.pem’) # 指定证书和密钥文件
app.run(host=‘0.0.0.0’, port=443, ssl_context=context)


在这个示例中，我们使用了OpenSSL库来生成证书和密钥文件。您需要提前准备好这两个文件，然后将其传递给`ssl_context`参数以启用HTTPS支持。这样一来，您的Flask应用程序将在443端口上运行，并使用HTTPS加密通信。


#### 安全性评估

## 最后

**自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。**

**深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！**

**因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。**

![img](https://img-blog.csdnimg.cn/img_convert/bf26b4ddd23ce5165a24966bd208e028.png)

![img](https://img-blog.csdnimg.cn/img_convert/da534ea665e8c43a1a43c07c8676f48e.png)

![img](https://img-blog.csdnimg.cn/img_convert/d9e9be329f94eb857949cd5d30f96a16.png)

![img](https://img-blog.csdnimg.cn/img_convert/adcf8f33e51c3f7145f9f0ae3eeb95b5.png)

![img](https://img-blog.csdnimg.cn/img_convert/3ec8643a195178856c111b8bf0d4e253.png)

 

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！**

[**如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！**](https://bbs.csdn.net/topics/618653875)

**由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！**

图片转存中...(img-iFoAtE9t-1715487743287)]

[外链图片转存中...(img-OAOS5EKi-1715487743287)]

 

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！**

[**如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！**](https://bbs.csdn.net/topics/618653875)

**由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！**
2401_84969746
关注
  • 23
    点赞
  • 踩
  • 15
    收藏
    觉得还不错? 一键收藏
  • 5
    评论
专栏目录
python flask 框架实现jwt用户登录 接口权限认证 案例
大蛇王的博客
01-24 1万+
环境：python3.6+ 模块：flask、jwt 目的：实现用于登录并返回token令牌，用于后续的接口权限验证。 前言介绍： jwt（JSON Web Tokens），在用户认证当中常用的方式，在如今的前后端分离项目当中应用广泛，提高了后端代码的简洁和效能。 传统token和jwt区别 传统token：服务端会对登录成功的用户生成一个随机token返回，同时也会在本地保留对应的token（如在数据库中存入：token、用户名、过期时间等），当用户再次访问时，会携带之前的toke
推荐开源项目：Flask-Security-Too——为你的Flask应用添加安全特性
gitblog_00015的博客
05-19 486
推荐开源项目：Flask-Security-Too——为你的Flask应用添加安全特性 项目地址:https://gitcode.com/Flask-Middleware/flask-security 1、项目介绍 Flask-Security-Too 是一个基于Python的微框架Flask的扩展库，它的目标是帮助开发者快速地为他们的Web应用程序增添一系列的安全功能。这个项目是由社区维护的一个...
flask 之JWT认证实现
lIujunXHU的博客
06-03 1295
JWT（JSON Web Token）是一种用于身份验证和授权的开放标准。它由三部分组成，分别是头部、负载和签名。头部（Header）是一个 JSON 对象，描述了使用的算法和类型。它通常包含两个字段：算法（alg）和类型（typ）。负载（Payload）也是一个 JSON 对象，用于存储用户的相关信息。它可以包含一些预定义的字段，如过期时间（exp）、发布时间（iat）等，也可以包含一些自定义字段。签名（Signature）使用指定的算法对头部和负载进行加密，生成一段字符串。
关于Vue和flask的JWT使用（实验项目第四期）
m0_72541842的博客
09-25 497
关于JWT的学习使用遇到的一些问题
Flask 高级应用：使用蓝图模块化应用和 JWT 实现安全认证
小小张说故事的博客
08-08 1302
本文将探讨 Flask 的两个高级特性：蓝图（Blueprints）和 JSON Web Token（JWT）认证。蓝图让我们可以将应用模块化，以便更好地组织代码；而 JWT 认证是现代 Web 应用中常见的一种安全机制。
Flask项目中实现JWT认证机制---双token机制
sn0wp3ak
04-06 2313
核心思想 解决单一token的安全问题,设置2个token一个对接业务,有需求就带着业务token去认证然后操作相关功能,有效期较短,2小时;另一个token专门用来刷新业务token,简称刷新token,具有较长的过期时间,14天; 当业务token过期时,必须携带刷新token通过put接口来实现token的刷新,新的业务token还是存活2小时,这期间刷新token一直不变,直到14天后刷新...
meanauthapp:使用MEAN堆栈从头开始构建的身份验证应用
05-15
MEAN身份验证应用科技栈Node.js和Express REST API 护照MongoDB和猫鼬JWT认证Angular 2和Angular-CLI Angular2-JWT Angular 2 Flash消息MEAN部署-Heroku屏幕截图主屏幕
一个使用Spring Boot和Vue开发的基于flash-waimai的完整的外卖系统.zip
02-08
5. **安全性**：如OAuth2.0、JWT（JSON Web Tokens）进行身份验证和授权，防止未授权访问。 6. **前端路由**：Vue Router的使用，实现页面间的导航和状态管理。 7. **状态管理**：Vuex的使用，处理全局状态，如...
IG-Clone:照片共享应用程序，可让您拍照，上传和共享。 使用React构建，上下文挂钩，通过JWT进行身份验证，文件上传，自己设置样式并设置动画
04-05
照片分享APP :camera_with_flash: 这个应用程式可让您上传或拍照，并与所有追踪者分享。 目录 描述 Photo Sharing App的想法是模拟社交媒体可以拥有的环境。 在这种情况下，我们谈论的是能够上传/拍摄照片并与您...
JAVA本科毕业设计外卖点餐系统源码,仿照饿了么的外卖平台，包括手机端，后台管理, api服务
01-06
7. **OAuth2.0或JWT（JSON Web Tokens）认证**：为了确保用户安全性，系统可能会使用OAuth2.0授权框架或JWT进行用户身份验证和授权。 8. **支付集成**：外卖系统通常包含在线支付功能，可能集成了支付宝、微信支付...
flask-jwt-auth-test:Flask-JWT测试项目
05-04
Flask JWT认证测试 这是具有JWT身份验证的测试瓶应用程序。
Flash-chat
03-27
5. **身份验证与授权** - **OAuth**：集成OAuth服务，如Google或Facebook登录，简化用户注册和登录流程。 - **JWT（JSON Web Tokens）**：用于安全地传输用户身份信息，确保数据传输的安全性。 6. **实时消息队列...
Flask + PyJWT 实现基于Json Web Token的用户认证授权
极客点儿
01-16 7656
这是我在做用户认证开发过程中看到一位大神写的文章，不过源地址已经失效了，希望有可能未来还能看到传送门。在此转载是不忍心这么好的文章绝版 我在 github 上找到了作者的源码，有需要的可以去下载https://github.com/yaoyonstudio/flask-pyjwt-auth 在程序开发中，用户认证授权是一个绕不过的重难点。以前的开发模式下，cookie和session认证是主...
推荐开源项目：flask-jwt-auth
最新发布
gitblog_00015的博客
06-04 373
推荐开源项目：flask-jwt-auth 项目地址:https://gitcode.com/oleg-agapov/flask-jwt-auth 1、项目介绍 在快速发展的Web开发领域中，安全和授权是每个应用不可或缺的组成部分。flask-jwt-auth 是一个针对Python Flask框架的轻量级插件，它提供了基于JSON Web Token（JWT）的身份验证和授权解决方案。通过这个库...
flask-web—— JWT认证方案
Shallow的博客
07-13 888
撒旦发射点
Swagger2开启验证，保证生产环境安全
Crazy_young_man的博客
11-18 3863
最近接口经常被频繁访问，我估计是线上文档泄露了，所以今天看了看如何对swagger文档添加一个密码访问 pom配置 <!-- Swagger2 --> <dependency> <groupId>io.springfox</groupId> <artifactId>springfox-swagger2</artifactId> <version>2.9.2</version> </d
五、Swagger 介绍（Flask+Flasgger的应用）
weixin_44597347的博客
12-23 2269
Swagger 是一个规范和完整的框架，用于生成、描述、调用和可视化 RESTful 风格的 Web 服务。总体目标是使文档化工作和客户端与服务器之间的 API 调用更加容易进行。Swagger 规范（Swagger Specification）它是一个用于描述 API 的格式标准。目前的版本是，它定义了一个API的所有可能参数、请求的输入和输出格式等。Swagger UI是一个基于 Web 的用户界面，用于读取 OpenAPI 规范生成的 API 文档，并通过用户友好的界面显示。用户可以通过。
理解JWT安全：身份验证与数据传输
"这篇文章主要介绍了JWT（JSON Web Token）的安全性及其在身份认证中的应用，强调了JWT在减少服务器负担和防止CSRF攻击方面的优势。文章提到了JWT的构成包括Header、Payload和Signature三部分，并且是通过Base64URL...
评论 5
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值