JWT 應(yīng)用

關(guān)于 Python 的 JWT 實(shí)現(xiàn)不止一個(gè)，不同的庫(kù)，不同的實(shí)現(xiàn)方式層出不窮，今天要講解的是 Python 的 Authlib 庫(kù)，它是一個(gè)大而全的 Python Web 驗(yàn)證庫(kù)支持多種 Python 框架

Authlib 的 JWT

Authlib 是構(gòu)建 OAuth 和 OpenID 安全連接服務(wù)器的終極 Python 庫(kù)，包括了 JWS, JWE, JWK, JWA, JWT

Authlib 功能強(qiáng)大而豐富，今天我們只了解他的 JWT 部分，之后在介紹基于第三方認(rèn)證的 OAuth 技術(shù)時(shí)還會(huì)進(jìn)一步講解

安裝

使用 pip 安裝

pip install Authlib

如果一切正常，可以導(dǎo)入 Authlib 模板，例如，引入 jwt :???????

>>> from authlib.jose import jwt>>>

小試牛刀

JWT 是服務(wù)器端的機(jī)制，所以可以在命令行中做測(cè)試

生成 token???????

>>> from authlib.jose import jwt>>> header = {'alg': 'HS256'}>>> payload = {'iss': 'Authlib', 'sub': '123', 'name': 'bob'}>>> secret = '123abc.'>>> token = jwt.encode(header, payload, secret)>>> print(token)b'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJBdXRobGliIiwic3ViIjoiMTIzIiwibmFtZSI6ImJvYiJ9.cBo6e7Uss5__16mlqZECjHJSKJDdyisevDP5cUGvJms'

• 導(dǎo)入 jwt 模塊

• 定義?header，并且設(shè)置簽名算法為?HS256

• 定義?payload，作為傳輸信息

• 定義?secret，注意這里只是方便演示，實(shí)際項(xiàng)目中最好是隨機(jī)生成，并妥善保存

• 使用 jwt 的?encode?方法，生成 token，encode?方法一次性實(shí)現(xiàn)了所有關(guān)于 JWT 協(xié)議的定義

• 打印出 token，可見(jiàn)，被?.?分隔為三部分，前兩部分是?header?和?payload的 Base64Url 編碼，最后一部分是 簽名

解碼 token

接上面的環(huán)境：???????

>>> claims = jwt.decode(token, secret)>>> print(claims){'iss': 'Authlib', 'sub': '123', 'name': 'bob'}>>> print(claims.header){'alg': 'HS256', 'typ': 'JWT'}>>> claims.validate()>>>

• 用 jwt 模塊的?decode?方法，利用?secret?對(duì)?token?進(jìn)行解碼，如果簽名正確，就會(huì)得到解碼內(nèi)容，解碼對(duì)象是?authlib.jose.JWTClaims?類的實(shí)例

• 打印出解碼內(nèi)容，可以看到和生成 token 時(shí)的?payload?內(nèi)容一致

• 打印出?header，可以看到?typ?為JWT，即使用默認(rèn)值

• validate?方法用于檢驗(yàn) token 的有效性，比如：是否過(guò)期、主題是否一致，是否沒(méi)到生效時(shí)間等等，也可以針對(duì)每種情況單獨(dú)做驗(yàn)證，例如validate_exp?可用檢驗(yàn)是否過(guò)期

雖然 JWT 理論很繁瑣，但 Authlib 庫(kù)提供了簡(jiǎn)潔的方法，讓開(kāi)發(fā)應(yīng)用變得更高效

與客戶端交互

JWT 之所有流行，有個(gè)重要原因是可以支持多種客戶端，例如 瀏覽器和 app，JWT 標(biāo)準(zhǔn)規(guī)定，一般情況下，客戶端需要將 token 放在 Http 請(qǐng)求的 Header 中的 Authorization 字段中，舉個(gè)例子：???????

GET /resource HTTP/1.1     Host: server.example.com     Authorization: Bearer mF_9.B5f-4.1JqM

• 用 GET 方式請(qǐng)求?/resource?，在 Header 中添加了?Authorization?字段

• 不能直接將 token 作為?Authorization的值，必須有類型聲明，這里是Bearer

Bearer?表示這個(gè) token 是由認(rèn)證服務(wù)器生成的，用來(lái)做身份識(shí)別的，除此之外，IEIT 還定義了其他 認(rèn)證類型，如?Bisic,?Digest，可以簡(jiǎn)單理解成?Bearer?就是 JWT 的認(rèn)證類型

除了通過(guò) Http Header 類攜帶 token 之外，還可以通過(guò) POST 請(qǐng)求主體，以及 URL 中的 querystring 來(lái)向服務(wù)器發(fā)送 token，這兩種情況下，需要使用 access_token 字段來(lái)表示 token

JWT 標(biāo)準(zhǔn)建議使用 Header 方式，除非 Header 無(wú)法使用時(shí)才考慮其他方式

Flask JWT

Authlib 主要的用途在打造一個(gè) OAuth 應(yīng)用，對(duì)于單獨(dú)做 JWT 的實(shí)踐有些麻煩，因此我們用 flask-jwt 框架，做 JWT 的實(shí)踐。

flask-jwt 和之前講述的 flask-login 用法很像，是基于 JWT 的認(rèn)證的框架，提供和很多方便實(shí)踐的特性

安裝 flask-jwt

pip install Flask-JWT

創(chuàng)建應(yīng)用

為了簡(jiǎn)單，將所有代碼放在 app.py 中:???????

from flask import Flaskfrom flask_jwt import JWT, jwt_required, current_identityfrom werkzeug.security import safe_str_cmp# User 類，用于模擬用戶實(shí)體class User(object):    def __init__(self, id, username, password):        self.id = id        self.username = username        self.password = password    def __str__(self):        return "User(id='%s')" % self.id# User 實(shí)體集合，用于模擬用戶對(duì)象的緩存users = [    User(1, 'user1', 'abcxyz'),    User(2, 'user2', 'abcxyz'),]username_table = {u.username: u for u in users}userid_table = {u.id: u for u in users}# 獲取認(rèn)證的回調(diào)函數(shù)，從 request 中得到登錄憑證，返回憑證所代表的 用戶實(shí)體def authenticate(username, password):    user = username_table.get(username, None)    if user and safe_str_cmp(user.password.encode('utf-8'), password.encode('utf-8')):        return user# 通過(guò) token 獲得認(rèn)證主體的回調(diào)函數(shù)def identity(payload):    user_id = payload['identity']    return userid_table.get(user_id, None)app = Flask(__name__)app.debug = Trueapp.config['SECRET_KEY'] = 'super-secret'jwt = JWT(app, authenticate, identity)  # 用 JWT 初始化應(yīng)用@app.route('/protected', methods= ["GET", "POST"])  # 定義一個(gè) endpoint@jwt_required()  # 聲明需要 token 才能訪問(wèn)def protected():    return '%s' % current_identity  # 驗(yàn)證通過(guò)返回 認(rèn)證主體if __name__ == '__main__':    app.run()

運(yùn)行:???????

$ python app.py * Serving Flask app "app" (lazy loading) * Environment: production   WARNING: This is a development server. Do not use it in a production deployment.   Use a production WSGI server instead. * Debug mode: on * Running on http://127.0.0.1:5000/ (Press CTRL+C to quit) * Restarting with stat * Debugger is active! * Debugger PIN: 566-326-511

獲取 access_token

flask-jwt 默認(rèn)的獲取 token 的路由是/auth，請(qǐng)求方式是 POST，用 JSON 傳送用戶名密碼給服務(wù)器，例如:???????

$ curl -X POST -H "Content-Type: application/json" localhost:5000/auth -d '{"username":"user1","password":"abcxyz"}'{  "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.  eyJleHAiOjE...<省略>...VudGl0eSI6MX0.  M-shnDPAVdu...<省略>...LaH1EMIbrWjPto"}

如果登錄憑證正確，則返回 access_token，可以看到被?.?分隔成三部分，即 JWT 的結(jié)構(gòu)

使用 access_token

flask-jwt 默認(rèn)通過(guò) Header 傳送 token，為了和 OAuth 生成的 JWT 做區(qū)分，默認(rèn)使用JWT?作為 token 的類型，例如，用上面生成的 JWT 請(qǐng)求?/protected：???????

curl -H "Authorization: jwt eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE...<省略>...VudGl0eSI6MX0.M-shnDPAVdu...<省略>...LaH1EMIbrWjPto" localhost:5000/protectedUser(id='1')

如果 token 有效，則返回 token 對(duì)應(yīng)的認(rèn)證實(shí)體，這個(gè)例子中打印出了 user 實(shí)體

總結(jié)

本節(jié)課程講解了基于 token 驗(yàn)證的 JWT，使用 Authlib 庫(kù)對(duì) JWT 做了實(shí)踐練習(xí)，期望能幫助您更好的理解 JWT，最后通過(guò) flask-jwt 模塊，實(shí)踐了 JWT 的驗(yàn)證方式，和使用方式。在后續(xù)的課程中還會(huì)對(duì)目前流行的第三方認(rèn)證框架 OAuth 做介紹，敬請(qǐng)期待。