Python JWT 介紹和使用

ChaosMoor發表於2021-05-11
PythonJWT

img

Python JWT 介紹

目錄

1. JWT 介紹

​ jwt（ JSON Web Tokens ），是一種開發的行業標準 RFC 7519 ，用於安全的表示雙方之間的宣告。目前，jwt廣泛應用在系統的使用者認證方面，特別是現在前後端分離專案
​ jwt認證流程：

​ 在專案開發中，一般會按照上圖所示的過程進行認證，即：使用者登入成功之後，服務端給使用者瀏覽器返回一個 token，以後使用者瀏覽器要攜帶 token 再去向服務端傳送請求，服務端校驗 token 的合法性，合法則給使用者看資料，否則，返回一些錯誤資訊

​ 傳統token方式和jwt在認證方面有什麼差異？

  • 傳統 token 方式：使用者登入成功後，服務端生成一個隨機 token 給使用者，並且在服務端(資料庫或快取)中儲存一份 token，以後使用者再來訪問時需攜帶 token，服務端接收到 token 之後，去資料庫或快取中進行校驗 token 的是否超時、是否合法
  • jwt 方式：使用者登入成功後，服務端通過 jwt 生成一個隨機 token 給使用者（服務端無需保留 token），以後使用者再來訪問時需攜帶token，服務端接收到 token 之後，通過 jwt 對 token 進行校驗是否超時、是否合法

2. JWT 建立 token

2.1 JWT 生成原理

jwt 的生成 token 格式如下，即：由 . 連線的三段字串組成

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lI
iwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

​

​ 生成規則如下：

  • 第一段 HEADER 部分，固定包含演算法和 token 型別，對此 json 進行 base64url 加密，這就是 token
    的第一段
{
"alg": "HS256",
"typ": "JWT"
}
  • 第二段 PAYLOAD 部分，包含一些資料，對此json進行base64url加密，這就是token的第二段
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
...
}
  • 第三段 SIGNATURE 部分，把前兩段的 base64url 密文通過. 拼接起來，然後對其進行 HS256 加密，再然後對hs256 密文進行 base64url 加密，最終得到 token 的第三段
base64url(
	HMACSHA256(
		base64UrlEncode(header) + "." + base64UrlEncode(payload),
	your-256-bit-secret (祕鑰加鹽)
	)
)

​ 最後將三段字串通過 . 拼接起來就生成了 jwt 的 token

​ 注意：base64url 加密是先做 base64 加密，然後再將 - 替代 + 及 _ 替代 /

2.2 JWT 校驗 token 原理

​ 一般在認證成功後，把 jwt 生成的 token 返回給使用者，以後使用者再次訪問時候需要攜帶 token，此時 jwt 需要對token 進行超時及合法性校驗
​ 獲取 token 之後，會按照以下步驟進行校驗：

  • 將token分割成 header_segment 、payload_segment 、crypto_segment 三部分
JWT_TOKEN =
"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c"

signing_input, crypto_segment = JWT_TOKEN.rsplit('.', 1)
header_segment, payload_segment = signing_input.split('.', 1)
  • 對第一部分header_segment 進行 base64url 解密，得到 header
  • 對第二部分payload_segment 進行 base64url 解密，得到 payload
  • 對第三部分crypto_segment 進行 base64url 解密，得到 signature，針對 signature 部分資料進行合法性校驗
    • 拼接前兩段密文，即：signing_input
    • 從第一段明文中獲取加密演算法，預設：HS256
    • 使用演算法+鹽 對 signing_input 進行加密，將得到的結果和 signature 密文進行比較

3. 程式碼實現

​ 基於 Python 的 pyjwt 模組建立 jwt 的 token

  • 安裝
pip3 install pyjwt
  • 實現
from datetime import datetime, timedelta

import jwt


class JwtToken(object):

    _salt = "@^4_00wedv**pi)+(!w1rwi=d3q4l=ie=g-u$s8jevmj*zgg2h" 

    _expire_message = dict(code=1200, msg="token 已經失效")

    _unknown_error_message = dict(code=4200, msg="token 解析失敗")

    @classmethod
    def generate_token(cls, payload: dict) -> str:
        headers = dict(typ="jwt", alg="HS256")
        resut = jwt.encode(payload=payload, key=cls._salt, algorithm="HS256", headers=headers)
        return resut

    @classmethod
    def parse_token(cls, token: str) -> tuple:
        verify_status = False
        try:
            payload_data = jwt.decode(token, cls._salt, algorithms=['HS256'])
            verify_status = True
        except jwt.ExpiredSignatureError:
            payload_data = cls._expire_message
        except Exception as _err:
            payload_data = cls._unknown_error_message
        return verify_status, payload_data


if __name__ == '__main__':
    TEST_DATA = dict(name="mooor", exp=datetime.utcnow() - timedelta(seconds=1))
    token = JwtToken.generate_token(TEST_DATA)
    print(token)
    payload = JwtToken.parse_token(token)
    print(payload)

​ 注意：exp 務必選擇 UTC 時間

Expiration time will be compared to the current UTC time (as given by timegm(datetime.utcnow().utctimetuple())), so be sure to use a UTC timestamp or datetime in encoding

4. 引數介紹

4.1 示例：

import jwt
import datetime

dic = {
    'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1),  # 過期時間
    'iat': datetime.datetime.utcnow(),  #  開始時間
    'iss': 'ChaosMoor',                 #  簽名
    'data': {                           #  內容，一般存放該使用者id和開始時間
        'a': 1,
        'b': 2,
    },
}


token = jwt.encode(dic, 'secret', algorithm='HS256')                            # 加密生成字串
print(token)

payload = jwt.decode(token, 'secret', issuer='lianzong', algorithms=['HS256'])  # 解密，校驗簽名
print(s)
print(type(s))

​ dic 有官方指定的 key，程式在解密的時候會根據 key 的 Value 判斷是否合法。這些 key 有：

  • "exp"：在生成 token 時，可以設定該 token 的有效時間，如果我們設定 1 天過期，1 天后我們再解析此 token 會丟擲
jwt.exceptions.ExpiredSignatureError: Signature has expired
  • "nbf"：它指的是該 token 的生效時間，如果使用但是沒到生效時間則丟擲：
jwt.exceptions.ImmatureSignatureError: The token is not yet valid (nbf)
  • "iss"： token 的簽發者，我們可以給他一個字串，注意，iss 在接收時如果不檢驗也沒有問題，如果我們接收時需要檢驗但是又簽名不一致，則會丟擲
jwt.exceptions.InvalidIssuerError: Invalid issuer
  • "aud"：指定了接收者，接收者在接收時必須提供與 token 要求的一致的接收者（字串），如果沒寫接收者或者接收者不一致會丟擲
jwt.exceptions.InvalidAudienceError: Invalid audience
  • "iat"：token 的開始時間，如果當前時間在開始時間之前則丟擲
jwt.exceptions.InvalidIssuedAtError: Issued At claim (iat) cannot be in the future.

4.2 PyJWT 官方文件

https://pyjwt.readthedocs.io/en/latest/usage.html

相關文章