Flask中的JWT认证构建安全的用户身份验证系统(2)

最新推荐文章于 2024-06-03 17:00:18 发布
最新推荐文章于 2024-06-03 17:00:18 发布
阅读量448 收藏 6
点赞数 5
文章标签： flask 安全 python
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Innocence_0/article/details/139225079
版权
Flask中的JWT认证：构建安全的用户身份验证系统

随着Web应用程序的发展，用户身份验证和授权变得至关重要。JSON Web
Token（JWT）是一种流行的身份验证方法，它允许在网络应用程序之间安全地传输信息。在Python领域中，Flask是一种流行的Web框架，它提供了许多工具来简化JWT身份验证的实现。

在本文中，我们将探讨如何使用Flask和JWT构建一个安全的用户身份验证系统。我们将介绍JWT的工作原理，然后演示如何在Flask应用程序中集成JWT来实现用户身份验证。

什么是JWT？

JWT是一种基于JSON的开放标准（RFC
7519），用于在网络应用程序之间传输信息。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。这三部分通过点号连接在一起，形成了一个JWT令牌，例如：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c。

  • 头部（Header） ：包含了JWT的类型（例如，JWT）和使用的加密算法（例如，HMAC SHA256或RSA）。
  • 载荷（Payload） ：包含了声明，例如用户ID和角色。它也可以包含其他自定义的声明。
  • 签名（Signature） ：用于验证JWT的完整性，以确保未被篡改。
使用Flask和JWT实现用户身份验证

首先，我们需要安装所需的库。我们可以使用pip来安装Flask和PyJWT：

pip install Flask PyJWT

接下来，我们创建一个简单的Flask应用程序，实现JWT身份验证。我们将使用JWT来生成和验证令牌，并使用Flask的路由来实现登录和受保护的资源访问。

from flask import Flask, request, jsonify
import jwt
from functools import wraps

app = Flask(__name__)
app.config['SECRET\_KEY'] = 'your\_secret\_key'  # 设置用于签名JWT的密钥

# 模拟用户数据库
users = {
    'username': 'password'
}

# 身份验证装饰器
def token\_required(f):
    @wraps(f)
    def decorated(\*args, \*\*kwargs):
        token = request.args.get('token')

        if not token:
            return jsonify({'message': 'Token is missing!'}), 403

        try:
            data = jwt.decode(token, app.config['SECRET\_KEY'])
        except:
            return jsonify({'message': 'Token is invalid!'}), 403

        return f(\*args, \*\*kwargs)

    return decorated

# 登录路由
@app.route('/login')
def login():
    auth = request.authorization

    if auth and auth.username in users and users[auth.username] == auth.password:
        token = jwt.encode({'username': auth.username}, app.config['SECRET\_KEY'])
        return jsonify({'token': token.decode('UTF-8')})

    return jsonify({'message': 'Authentication failed!'}), 401

# 受保护的路由
@app.route('/protected')
@token\_required
def protected():
    return jsonify({'message': 'Protected resource!'})

if __name__ == '\_\_main\_\_':
    app.run()

在上面的示例中，我们首先导入所需的库，并设置了用于签名JWT的密钥。然后，我们模拟了一个简单的用户数据库，并创建了一个装饰器token_required，用于验证JWT令牌。接着，我们定义了两个路由：/login用于登录并生成JWT令牌，/protected是一个受保护的资源，需要提供有效的JWT令牌才能访问。

进一步示例代码
用户管理

在用户管理方面，我们可以扩展我们的示例代码以支持用户注册、管理和密码重置。下面是一个简单的示例：

# 用户数据库
users = {
    'username': {'password': 'hashed\_password', 'email': 'user@example.com'}
}

# 注册路由
@app.route('/register', methods=['POST'])
def register():
    data = request.get_json()
    username = data.get('username')
    password = data.get('password')
    email = data.get('email')

    if username in users:
        return jsonify({'message': 'Username already exists!'}), 400

    # 在实际应用中，密码应该进行哈希处理，以增加安全性
    users[username] = {'password': password, 'email': email}
    return jsonify({'message': 'User registered successfully!'}), 201
令牌刷新

为了实现令牌刷新机制，我们可以添加一个额外的路由来接受令牌并返回新的令牌。下面是一个简单的示例：

# 令牌刷新路由
@app.route('/refresh\_token', methods=['POST'])
@token\_required
def refresh\_token():
    token = request.args.get('token')

    try:
        data = jwt.decode(token, app.config['SECRET\_KEY'], algorithms=['HS256'], options={'verify\_exp': False})
        new_token = jwt.encode({'username': data['username']}, app.config['SECRET\_KEY'])
        return jsonify({'token': new_token.decode('UTF-8')})
    except:
        return jsonify({'message': 'Token is invalid!'}), 403

在这个示例中，我们使用了一个额外的路由/refresh_token来接受一个旧的JWT令牌，并使用相同的用户信息生成一个新的令牌。需要注意的是，我们关闭了过期验证选项，以便在旧令牌过期后生成新令牌。

通过实现这些功能，我们可以进一步增强我们的用户身份验证系统，并提供更好的用户体验和安全性。这些示例代码可以作为起点，帮助您构建出更完整和功能强大的应用程序。

日志和监控

在实际应用中，添加日志记录和监控功能对于跟踪和分析用户活动以及识别潜在的安全问题至关重要。下面是一个简单的示例，演示如何使用Flask内置的日志记录功能来记录请求信息：

import logging

# 设置日志记录级别
logging.basicConfig(level=logging.INFO)

# 登录路由
@app.route('/login')
def login():
    auth = request.authorization

    logging.info(f"Login attempt with username: {auth.username}")

    if auth and auth.username in users and users[auth.username] == auth.password:
        token = jwt.encode({'username': auth.username}, app.config['SECRET\_KEY'])
        logging.info(f"Login successful for username: {auth.username}")
        return jsonify({'token': token.decode('UTF-8')})

    logging.info(f"Login failed for username: {auth.username}")
    return jsonify({'message': 'Authentication failed!'}), 401

通过添加日志记录，我们可以在服务器端记录每次登录尝试的详细信息，以便后续分析和监控。

安全性增强

为了增强安全性，我们可以采取一些额外的措施来保护用户身份验证过程中的敏感信息。下面是一些建议：

  • 使用HTTPS ：通过使用HTTPS来加密通信，可以防止中间人攻击和窃听，从而保护用户的凭据和数据。
  • 限制登录尝试次数 ：实施登录尝试次数限制和锁定账户机制，以防止暴力破解密码。
  • 密码哈希存储 ：对用户密码进行哈希处理，并采用适当的哈希算法和盐值来增加密码的安全性。
完整示例代码

下面是经过改进和扩展的完整示例代码，包括用户管理、令牌刷新、日志记录和安全性增强：

from flask import Flask, request, jsonify
import jwt
import logging
from functools import wraps

app = Flask(__name__)
app.config['SECRET\_KEY'] = 'your\_secret\_key'

# 模拟用户数据库
users = {
    'username': {'password': 'hashed\_password', 'email': 'user@example.com'}
}

# 设置日志记录级别
logging.basicConfig(level=logging.INFO)

# 身份验证装饰器
def token\_required(f):
    @wraps(f)
    def decorated(\*args, \*\*kwargs):
        token = request.args.get('token')

        if not token:
            return jsonify({'message': 'Token is missing!'}), 403

        try:
            data = jwt.decode(token, app.config['SECRET\_KEY'])
        except:
            return jsonify({'message': 'Token is invalid!'}), 403

        return f(\*args, \*\*kwargs)

    return decorated

# 注册路由
@app.route('/register', methods=['POST'])
def register():
    data = request.get_json()
    username = data.get('username')
    password = data.get('password')
    email = data.get('email')

    if username in users:
        return jsonify({'message': 'Username already exists!'}), 400

    # 在实际应用中，密码应该进行哈希处理，以增加安全性
    users[username] = {'password': password, 'email': email}
    return jsonify({'message': 'User registered successfully!'}), 201

# 登录路由
@app.route('/login')
def login():
    auth = request.authorization

    logging.info(f"Login attempt with username: {auth.username}")

    if auth and auth.username in users and users[auth.username]['password'] == auth.password:
        token = jwt.encode({'username': auth.username}, app.config['SECRET\_KEY'])
        logging.info(f"Login successful for username: {auth.username}")
        return jsonify({'token': token.decode('UTF-8')})

    logging.info(f"Login failed for username: {auth.username}")
    return jsonify({'message': 'Authentication failed!'}), 401

# 令牌刷新路由
@app.route('/refresh\_token', methods=['POST'])
@token\_required
def refresh\_token():
    token = request.args.get('token')

    try:
        data = jwt.decode(token, app.config['SECRET\_KEY'], algorithms=['HS256'], options={'verify\_exp': False})
        new_token = jwt.encode({'username': data['username']}, app.config['SECRET\_KEY'])
        return jsonify({'token': new_token.decode('UTF-8')})
    except:
        return jsonify({'message': 'Token is invalid!'}), 403

# 受保护的路由
@app.route('/protected')
@token\_required
def protected():
    return jsonify({'message': 'Protected resource!'})

if __name__ == '\_\_main\_\_':
    app.run()

## 最后

**自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。**

**深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！**

**因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。**

![img](https://img-blog.csdnimg.cn/img_convert/834f552b05de93616bad4f5f6f471fd9.png)

![img](https://img-blog.csdnimg.cn/img_convert/9d93143d327dda1227c4b4bf7b679652.png)

![img](https://img-blog.csdnimg.cn/img_convert/5a60d188b64675205a7c412dc89aff71.png)

![img](https://img-blog.csdnimg.cn/img_convert/f6e1560b7f8a140bbccc40e44c08c4de.png)

![img](https://img-blog.csdnimg.cn/img_convert/4f1615f5ac4ef4942a2ac50ffb71a452.png)

 

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！**

[**如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！**](https://bbs.csdn.net/topics/618653875)

**由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！**

图片转存中...(img-FDjXHS0D-1715487678270)]

[外链图片转存中...(img-ONAdJ1iT-1715487678270)]

 

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！**

[**如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！**](https://bbs.csdn.net/topics/618653875)

**由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！**

学习计划安排


我一共划分了六个阶段，但并不是说你得学完全部才能上手工作，对于一些初级岗位，学到第三四个阶段就足矣~

这里我整合并且整理成了一份【282G】的网络安全从零基础入门到进阶资料包，需要的小伙伴可以扫描下方CSDN官方合作二维码免费领取哦，无偿分享！！！

如果你对网络安全入门感兴趣，那么你需要的话可以

点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

①网络安全学习路线
②上百份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥HW护网行动经验总结
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

程序员负总裁
关注
  • 5
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
python flask 框架实现jwt用户登录 接口权限认证 案例
大蛇王的博客
01-24 1万+
环境：python3.6+ 模块：flask、jwt 目的：实现用于登录并返回token令牌，用于后续的接口权限验证。 前言介绍： jwt（JSON Web Tokens），在用户认证当中常用的方式，在如今的前后端分离项目当中应用广泛，提高了后端代码的简洁和效能。 传统token和jwt区别 传统token：服务端会对登录成功的用户生成一个随机token返回，同时也会在本地保留对应的token（如在数据库中存入：token、用户名、过期时间等），当用户再次访问时，会携带之前的toke
flask-web—— JWT认证方案
Shallow的博客
07-13 887
撒旦发射点
Python开发篇——如何在Flask下编写JWT登录
weixin_41446370的博客
07-31 1223
首先，HTTP 是无状态的协议（对于事务处理没有记忆能力，每次客户端和服务端会话完成时，服务端不会保存任何会话信息）——每个请求都是完全独立的，服务端无法确认当前访问者的身份信息，无法分辨上一次的请求发送者和这一次的发送者是不是同一个人。所以服务器与浏览器为了进行会话跟踪（知道是谁在访问自己），就必须主动的去维护一个状态，这个状态用于告知服务端前后两个请求是否来自同一浏览器。为此，前端开发者便加入了Cookie来实现有状态的HTTP连接。而后实现授权的方式就有cookie、session、token和JWT
flask 之JWT认证实现
最新发布
lIujunXHU的博客
06-03 1204
JWT（JSON Web Token）是一种用于身份验证和授权的开放标准。它由三部分组成，分别是头部、负载和签名。头部（Header）是一个 JSON 对象，描述了使用的算法和类型。它通常包含两个字段：算法（alg）和类型（typ）。负载（Payload）也是一个 JSON 对象，用于存储用户的相关信息。它可以包含一些预定义的字段，如过期时间（exp）、发布时间（iat）等，也可以包含一些自定义字段。签名（Signature）使用指定的算法对头部和负载进行加密，生成一段字符串。
快速实现用户认证：使用Python和Flask配合PyJWT生成与解密Token的教程及示例代码
陈钇钇的博客
02-17 1926
XUser类不仅定义了数据库表结构，还提供了方便的方法来操作和转换用户数据。通过使用 SQLAlchemy ORM，可以简化数据库操作，提高代码的可读性和可维护性。
python编程中，使用Flask写Web应用API，并通过JWT进行认证。
男人只说三分话、留得七分打天下。
02-04 916
前言 想写一个web应用API不知从何下手，网上各种查找文章，最后还是一个同事推荐用的Flask。 在不断的增加需求之后，遇到了一个叫Json Web Token的署名认证的一个机制。 困扰了很久，最后是借鉴了Google上的一篇文章实现了认证功能，这里分享给大家。 目的 用Flask写一个Web应用API 用户请求数据前进行认证，通过后返回请求的数据 解决方法 今年是2020年...
Flask-RestAPI-jwt:具有用户身份验证的Flask Rest API
04-12
具有用户身份验证的Flask Rest API，考虑了Flask-JWT-Extended版本4.1的更新 介绍： 具有Flask的RESTAPI，使用基于令牌的身份验证。 技术： 烧瓶 烧瓶RESTFUL-0.3.8 Flask-JWT_Extended-4.1.0 Flask-...
flask-jwt-auth-test:Flask-JWT测试项目
05-04
在本文中，我们将深入探讨基于Python的Web应用框架Flask以及如何使用JWT（JSON Web Tokens）进行身份验证。"flask-jwt-auth-test"是一个针对Flask应用的测试项目，旨在展示如何集成JWT来实现安全的身份验证机制。 ...
Python Flask构建微信小程序订餐系统 微信小程序工程文件
12-17
使用Flask-Login或者JWT（JSON Web Tokens）可以实现用户的身份验证和权限管理。确保只有经过认证的用户才能查看和操作自己的订单，保障系统安全。 7. **前端界面设计** 微信小程序提供了丰富的组件和样式库，...
Python Flask构建微信小程序订餐系统 管理员登录和列表界面
12-16
在这个项目中，管理员需要登录验证其身份，可能涉及用户名和密码的比对，或者使用更安全的身份验证机制如JWT（JSON Web Tokens）。 4. **列表界面**： 列表界面用于展示订餐信息，可能包括订单状态、菜品列表、...
bottle-cork：Bottle和Flask Web框架的身份验证模块
02-03
- **多种身份验证策略**：`bottle-cork`支持多种身份验证方法，如基于HTTP的基本认证、OAuth2、JWT（JSON Web Tokens）等。这使得开发者可以根据项目需求选择最适合的身份验证方式。 - **灵活的存储后端**：它可以...
Python-flaskpraetorian用于FlaskAPI的强大简单和精确的安全使用jwt
08-10
flask-praetorian：用于 Flask API 的强大、简单和精确的安全（使用 jwt）
flask-jwt-router：Flask JWT Router是一个Python库，可向Flask应用添加授权的路由
02-05
阅读文档： Flask JWT路由器 Flask JWT Router是一个Python库，可将授权路由添加到Flask应用。 基本和Google的OAuth2.0身份验证均受支持。 支持Google的OAuth2.0 Google OAuth 2.0快速入门 在此处阅读详细说明： oauth_options = { "client_id" : "<CLIENT>" , "client_secret" : "<CLIENT>" , "redirect_uri" : "http://localhost:3000" , "tablename
Python库 | Flask-JWT-Extended-2.0.0.tar.gz
03-07
**Flask-JWT-Extended** 是一个用于Python的Flask框架的...总之，Flask-JWT-Extended是Flask应用实现安全身份验证的利器，它简化了JWT的使用，并提供了丰富的功能，使得在Python后端开发中管理用户认证变得更为便捷。
Python库 | flask_jwt_consumer-1.1.0-py3-none-any.whl
02-16
`flask_jwt_consumer` 是一个基于 Python 的 Flask 框架的扩展库，主要用于实现 JSON Web Token (JWT) 的验证和处理。...通过熟练掌握这个库，你可以为你的 Python 后端应用构建安全的身份验证系统。
flask_vue_mysql管理系统.zip
03-19
【Flask Vue MySQL管理系统】是一个基于Python Flask框架、前端Vue.js库和MySQL数据库构建的简易后台管理系统。这个项目旨在提供一个基础的Web应用结构，帮助开发者快速搭建属于自己的管理平台。接下来，我们将深入...
python3 Flask jwt 简易token认证实例
jxyk2007的专栏
02-20 677
chatgpt写的代码。
flask中jwt的使用
weixin_43262264的博客
09-16 4088
之前用的Flask-JWT，感觉不好用，不太灵活，参考Flask-JWT源码直接用jwt库，就方便很多了，python3.7代码封装如下： # decorator.py import jwt from datetime import datetime from functools import wraps from werkzeug.local import LocalProxy from flask import request, jsonify, _request_ctx_stack, current_
python 使用flask_httpauth和pyjwt实现登录权限控制
Damien_J_Scott的博客
04-26 906
这样的话，只需要引入之前定义的auth_provider，然后在需要登录之后才能访问的api上加入@auth_provider.login_required，当然auth_provider这个变量名是自己取的，你怎么定义的就用什么就行了。这样的话访问该api的时候就会自动去拿jwt验证。登录的方法可以看到，验证密码之后就会生成jwt返回 ，前端接到这个jwt之后，就会放在之后的请求内。jwt过期时间你可以根据需求自己定义。最近需要用到，学习了一下记录。实现验证token的方法，生成密码的方式在这里。
举例说明flask 创建验证 token
09-16
Flask 创建验证 token 的示例代码如下： ```python from flask import Flask, jsonify import jwt app = Flask(__name__) @app.route('/login') def login(): # 假设用户已经通过验证，生成 token 并返回给客户端 payload = {'user_id': 123} token = jwt.encode(payload, 'secret', algorithm='HS256') return jsonify({'token': token}) @app.route('/protected') def protected(): # 在需要验证的路由中，获取客户端传来的 token 并进行验证 token = request.headers.get('Authorization').split()[1] try: payload = jwt.decode(token, 'secret', algorithms=['HS256']) user_id = payload['user_id'] return jsonify({'message': f'Hello user {user_id}!'}) except jwt.InvalidTokenError: return jsonify({'message': 'Invalid token.'}), 401 if __name__ == '__main__': app.run() ``` 在这个示例中，我们使用了 PyJWT 库来生成和验证 token。在登录路由中，我们生成了一个包含用户 ID 的 payload，并使用密钥 'secret' 对其进行签名。然后将签名后的 token 返回给客户端。在受保护的路由中，我们从客户端传来的请求头中获取 token，并使用相同的密钥对其进行解码和验证。如果验证成功，我们就可以从 payload 中获取用户 ID，并返回相应的响应。如果验证失败，则返回一个 401 错误响应。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值