Python使用JWT的详细教程

Python使用JWT的详细教程

JWT (JSON Web Token) 是一种开放标准（RFC 7519），用于在网络应用环境中以 URL 安全的方式传递声明信息。它以编码形式将 JSON 对象作为信息载体，广泛用于身份验证和信息交换。本文将介绍如何在 Python 中使用 JWT 进行身份验证。

环境准备

我们需要使用 PyJWT 库来处理 JWT。确保你的 Python 环境中安装了此库，可以使用以下命令安装：

pip install PyJWT

JWT的基本结构

JWT由三部分组成： 1. 头部（Header）：通常包含令牌的类型（JWT）和所使用的签名算法（如 HMAC SHA256）。 2. 载荷（Payload）：包含声明（Claims），数据部分可以包括用户信息或其他数据。 3. 签名（Signature）：用于验证消息的发送者，并确保消息未被篡改。

一个典型的JWT的结构如下：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX2lkIjoxMjM0NTY3ODkwLCJuYW1lIjoiYWRtaW4ifQ.SflKxwRJSMeKKF2QT4fwpMeJf36PoSx9S0Xb9bWo2L8

生成JWT

接下来，我们将创建一个JWT。以下是一个创建JWT的示例代码：

import jwt
import datetime

# 定义密钥
SECRET_KEY = 'my_secret_key'

# 定义令牌的有效载荷
payload = {
    'user_id': 12345,
    'exp': datetime.datetime.utcnow() + datetime.timedelta(hours=1)  # 令牌1小时后过期
}

# 生成JWT
token = jwt.encode(payload, SECRET_KEY, algorithm='HS256')

print(f"生成的JWT: {token}")

在此示例中，我们定义了一个有效载荷，其中包含用户ID和过期时间。使用 jwt.encode 函数生成JWT。

验证JWT

生成的JWT可以在后续的请求中用于身份验证。以下是验证JWT的示例代码：

# 验证并解码JWT
try:
    decoded_payload = jwt.decode(token, SECRET_KEY, algorithms=['HS256'])
    print(f"解码后的负载: {decoded_payload}")
except jwt.ExpiredSignatureError:
    print("JWT已过期")
except jwt.InvalidTokenError:
    print("无效的JWT")

在该示例中，使用 jwt.decode 函数验证JWT。如果JWT有效且未过期，将会解码并返回有效载荷。如果JWT已过期，则会捕获 ExpiredSignatureError 错误；如果无效，则会捕获 InvalidTokenError 错误。

综合示例

我们将整个过程整合到一个简单的Flask应用中，演示如何使用JWT进行身份验证。

from flask import Flask, request, jsonify
import jwt
import datetime

app = Flask(__name__)
SECRET_KEY = 'my_secret_key'

@app.route('/login', methods=['POST'])
def login():
    username = request.json.get('username')
    password = request.json.get('password')

    # 这里通常会有数据库查询，以验证用户
    if username == 'admin' and password == 'password':
        payload = {
            'user_id': 1,
            'exp': datetime.datetime.utcnow() + datetime.timedelta(hours=1)
        }
        token = jwt.encode(payload, SECRET_KEY, algorithm='HS256')
        return jsonify({'token': token}), 200
    return jsonify({'message': '用户名或密码错误'}), 401

@app.route('/protected', methods=['GET'])
def protected():
    token = request.headers.get('Authorization')
    if not token:
        return jsonify({'message': '缺少令牌'}), 401
    try:
        decoded_payload = jwt.decode(token, SECRET_KEY, algorithms=['HS256'])
        return jsonify({'message': '成功访问受保护的资源', 'user_id': decoded_payload['user_id']}), 200
    except jwt.ExpiredSignatureError:
        return jsonify({'message': 'JWT已过期'}), 401
    except jwt.InvalidTokenError:
        return jsonify({'message': '无效的JWT'}), 401

if __name__ == '__main__':
    app.run(debug=True)

在这个Flask应用中，我们有两个路由：/login用于生成JWT，/protected用于访问受保护的资源。用户通过登录获取JWT，并在后续请求中将JWT作为Authorization头的一部分发送。

总结

本文详细介绍了如何使用Python及其库PyJWT来生成和验证JWT。JWT在现代Web应用中已经成为一种重要的身份验证和信息交换机制，希望通过本文的示例，你能够在自己的项目中有效地应用JWT进行身份验证。