目錄
- 1. JWT 介紹
- 2. JWT 創建 token
- 2.1 JWT 生成原理
- 2.2 JWT 校驗 token 原理
- 3. 代碼實現
- 4. 參數介紹
1. JWT 介紹
jwt（ JSON Web Tokens ），是一種開發的行業標準 RFC 7519 ，用于安全的表示雙方之間的聲明。目前，jwt廣泛應用在系統的用戶認證方面，特別是現在前后端分離項目
jwt認證流程：
在項目開發中，一般會按照上圖所示的過程進行認證，即：用戶登錄成功之后，服務端給用戶瀏覽器返回一個 token，以后用戶瀏覽器要攜帶 token 再去向服務端發送請求，服務端校驗 token 的合法性，合法則給用戶看數據，否則，返回一些錯誤信息
傳統token方式和jwt在認證方面有什么差異？
傳統 token 方式：用戶登錄成功后，服務端生成一個隨機 token 給用戶，并且在服務端(數據庫或緩存)中保存一份 token，以后用戶再來訪問時需攜帶 token，服務端接收到 token 之后，去數據庫或緩存中進行校驗 token 的是否超時、是否合法jwt 方式：用戶登錄成功后，服務端通過 jwt 生成一個隨機 token 給用戶（服務端無需保留 token），以后用戶再來訪問時需攜帶token，服務端接收到 token 之后，通過 jwt 對 token 進行校驗是否超時、是否合法
2. JWT 創建 token
2.1 JWT 生成原理
jwt 的生成 token 格式如下，即：由 . 連接的三段字符串組成
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lI
iwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
生成規則如下：
第一段 HEADER 部分，固定包含算法和 token 類型，對此 json 進行 base64url 加密，這就是 token
的第一段
{
"alg": "HS256",
"typ": "JWT"
}
第二段 PAYLOAD 部分，包含一些數據，對此json進行base64url加密，這就是token的第二段
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
...
}
第三段 SIGNATURE 部分，把前兩段的 base64url 密文通過. 拼接起來，然后對其進行 HS256 加密，再然后對hs256 密文進行 base64url 加密，最終得到 token 的第三段
base64url(
HMACSHA256(
base64UrlEncode(header) + "." + base64UrlEncode(payload),
your-256-bit-secret (秘鑰加鹽)
)
)
最后將三段字符串通過 . 拼接起來就生成了 jwt 的 token
注意：base64url 加密是先做 base64 加密，然后再將 - 替代 + 及 _ 替代 /
2.2 JWT 校驗 token 原理
一般在認證成功后，把 jwt 生成的 token 返回給用戶，以后用戶再次訪問時候需要攜帶 token，此時 jwt 需要對token 進行超時及合法性校驗
獲取 token 之后，會按照以下步驟進行校驗：
將token分割成 header_segment 、payload_segment 、crypto_segment 三部分
JWT_TOKEN =
"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c"
signing_input, crypto_segment = JWT_TOKEN.rsplit('.', 1)
header_segment, payload_segment = signing_input.split('.', 1)
對第一部分header_segment 進行 base64url 解密，得到 header
對第二部分payload_segment 進行 base64url 解密，得到 payload
對第三部分crypto_segment 進行 base64url 解密，得到 signature，針對 signature 部分數據進行合法性校驗
- 拼接前兩段密文，即：
signing_input
- 從第一段明文中獲取加密算法，默認：
HS256
- 使用算法+鹽 對
signing_input 進行加密，將得到的結果和 signature 密文進行比較
3. 代碼實現
基于 Python 的 pyjwt 模塊創建 jwt 的 token
安裝
實現
from datetime import datetime, timedelta
import jwt
class JwtToken(object):
_salt = "@^4_00wedv**pi)+(!w1rwi=d3q4l=ie=g-u$s8jevmj*zgg2h"
_expire_message = dict(code=1200, msg="token 已經失效")
_unknown_error_message = dict(code=4200, msg="token 解析失敗")
@classmethod
def generate_token(cls, payload: dict) -> str:
headers = dict(typ="jwt", alg="HS256")
resut = jwt.encode(payload=payload, key=cls._salt, algorithm="HS256", headers=headers)
return resut
@classmethod
def parse_token(cls, token: str) -> tuple:
verify_status = False
try:
payload_data = jwt.decode(token, cls._salt, algorithms=['HS256'])
verify_status = True
except jwt.ExpiredSignatureError:
payload_data = cls._expire_message
except Exception as _err:
payload_data = cls._unknown_error_message
return verify_status, payload_data
if __name__ == '__main__':
TEST_DATA = dict(name="mooor", exp=datetime.utcnow() - timedelta(seconds=1))
token = JwtToken.generate_token(TEST_DATA)
print(token)
payload = JwtToken.parse_token(token)
print(payload)
注意：exp 務必選擇 UTC 時間
Expiration time will be compared to the current UTC time (as given by timegm(datetime.utcnow().utctimetuple())), so be sure to use a UTC timestamp or datetime in encoding
4. 參數介紹
4.1 示例：
import jwt
import datetime
dic = {
'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1), # 過期時間
'iat': datetime.datetime.utcnow(), # 開始時間
'iss': 'ChaosMoor', # 簽名
'data': { # 內容，一般存放該用戶id和開始時間
'a': 1,
'b': 2,
},
}
token = jwt.encode(dic, 'secret', algorithm='HS256') # 加密生成字符串
print(token)
payload = jwt.decode(token, 'secret', issuer='lianzong', algorithms=['HS256']) # 解密，校驗簽名
print(s)
print(type(s))
dic 有官方指定的 key，程序在解密的時候會根據 key 的 Value 判斷是否合法。這些 key 有：
"exp"：在生成 token 時，可以設置該 token 的有效時間，如果我們設置 1 天過期，1 天后我們再解析此 token 會拋出
jwt.exceptions.ExpiredSignatureError: Signature has expired
"nbf"：它指的是該 token 的生效時間，如果使用但是沒到生效時間則拋出：
jwt.exceptions.ImmatureSignatureError: The token is not yet valid (nbf)
"iss"： token 的簽發者，我們可以給他一個字符串，注意，iss 在接收時如果不檢驗也沒有問題，如果我們接收時需要檢驗但是又簽名不一致，則會拋出
jwt.exceptions.InvalidIssuerError: Invalid issuer
"aud"：指定了接收者，接收者在接收時必須提供與 token 要求的一致的接收者（字符串），如果沒寫接收者或者接收者不一致會拋出
jwt.exceptions.InvalidAudienceError: Invalid audience
"iat"：token 的開始時間，如果當前時間在開始時間之前則拋出
jwt.exceptions.InvalidIssuedAtError: Issued At claim (iat) cannot be in the future.
4.2 PyJWT 官方文檔
https://pyjwt.readthedocs.io/en/latest/usage.html
到此這篇關于Python JWT 介紹和使用詳解的文章就介紹到這了,更多相關Python JWT使用內容請搜索腳本之家以前的文章或繼續瀏覽下面的相關文章希望大家以后多多支持腳本之家！
您可能感興趣的文章:- python-jwt用戶認證食用教學的實現方法
- Python 基于jwt實現認證機制流程解析
- python中JWT用戶認證的實現
