【实战Flask API项目指南】之七 用JWT进行用户认证与授权

实战Flask API项目指南之 用JWT进行用户认证与授权

本系列文章将带你深入探索实战Flask API项目指南，通过跟随小菜的学习之旅，你将逐步掌握 Flask 在实际项目中的应用。让我们一起踏上这个精彩的学习之旅吧！

前言

当小菜踏入Flask后端开发的世界时，了解 JSON Web Token（JWT） 是非常有益的。JWT 是一种用于认证和授权的解决方案，在Flask 中有广泛的应用。它提供了一种安全、可扩展和灵活的方式来管理用户会话和授权。

在上一篇文章中，小菜成功将 本地版图书管理系统后端API 改写成 持久化数据存储的图书管理系统后端API。但是还存在安全隐患，因为后端并没有对每个请求做验证。换句话说，任何人都可以请求数据而不受限制，这显然是不合理的。因此，在本文中，我们将在前一篇文章的基础上，添加安全验证步骤，以增加后端 API 平台的安全性。

JWT具体的内容参考以下链接：

  • 阮一峰 - JSON Web Token 入门教程
  • Flask-JWT-Extended 官方文档

注意：不要以明文形式存储密码，建议存储密码的哈希值，这里只为了作展示
注意：不要以明文形式存储密码，建议存储密码的哈希值，这里只为了作展示
注意：不要以明文形式存储密码，建议存储密码的哈希值，这里只为了作展示

实现用户认证与授权

1. 用户认证与授权

现在，让我们深入探讨如何在 Flask 应用程序中使用 Flask-JWT-Extended 进行用户认证和授权。

1.1 用户认证

用户认证是确认用户身份的过程。使用 Flask-JWT-Extended库，轻松实现用户登录和JWT生成：

  • 用户提供凭据（通常是用户名和密码）进行登录。
  • 服务器验证凭据并生成JWT令牌。
  • 令牌返回给客户端，客户端将其存储并在以后的请求中发送。

1.2 用户授权

用户授权是确定用户是否具有执行特定操作或访问特定资源的权限的过程。JWT的载荷通常包含有关用户的角色和权限信息。在每个请求中，服务器可以验证令牌中的角色和权限来确定用户是否被授权执行操作。

2. JWT简介

具体的原理戳这里查看啦：阮一峰 - JSON Web Token 入门教程

2.1 JWT结构

JWT由三部分组成：

  • 头部（Header）：通常包含令牌的类型（JWT）和使用的加密算法。
  • 载荷（Payload）：包含有关用户或其他数据的信息。例如，用户ID、角色或其他自定义数据。
  • 签名（Signature）：由头部、载荷和密钥组合而成的签名，用于验证令牌的完整性和来源可信度。

2.2 生成和验证JWT

  1. 用户登录时，服务器使用密钥签署JWT，并将其返回给客户端。
  2. 客户端在以后的请求中发送JWT作为身份验证令牌。
  3. 服务器验证JWT的签名以确保其完整性，然后使用载荷中的信息进行用户身份验证和授权。

3. Flask-JWT-Extended简介

这里只是比较基础的对 Flask-JWT-Extended 的应用，各位读者朋友们可以通过官网去系统的学习 Flask-JWT-Extended。

Flask-JWT-Extended是一个Python库，用于在 Flask 应用程序中添加JSON Web令牌（JWT）支持。它是一个插件，可以通过安装它来扩展Flask应用程序的功能。

可以通过官方文档做系统的学习。

  • Flask-JWT-Extended 官方文档

2.1 安装依赖

首先，需要安装 Flask-JWT-Extended 扩展：

pip install Flask-JWT-Extended

2.2 配置

请记住更改应用程序中的 JWT 密钥，并确保其安全。 JWT 使用此密钥进行签名，如果有人得到它，他们将能够创建您的 Web Flask 应用程序接受的任意令牌。

将'your-secret-key'替换为自己的密钥。这个密钥将用于签署和验证JWT令牌。

from flask import Flask
from flask_jwt_extended import (JWTManager, jwt_required, create_access_token, get_jwt_identity)app = Flask(__name__)
# 用于签名JWT的密钥
app.config['JWT_SECRET_KEY'] = 'your-secret-key' # 初始化JWT扩展
jwt = JWTManager(app)

2.3 基本用法

这一 part 将介绍 flask_jwt_extended 的基础用法，以及展示 JWT 认证通过与不通过、获取token等的操作。

2.3.1 flask_jwt_extended 代码

代码释义：

  • 定义了 /login 路由，用于用户登录并获取JWT令牌。在这个路由中，首先从请求中获取用户名和密码（这里是 “test” 和 “test”）。如果匹配成功，就使用 create_access_token 函数生成JWT令牌，并返回给客户端。
  • 定义了 /protected 路由，它是受保护的路由，只有在请求中包含有效的JWT令牌时才能访问。这是通过 @jwt_required() 装饰器实现的。
    • 如果请求中没有有效的JWT令牌，访问该路由会返回未授权的响应。
    • 如果令牌有效，路由会使用 get_jwt_identity() 函数获取JWT中的身份信息（在示例中为用户名）然后返回一个JSON响应，显示已登录的用户

注意：不要以明文形式存储密码，建议存储密码的哈希值，这里只为了作展示

# -*- coding: utf-8 -*-
# Name:         basic_usage.pyfrom flask import (Flask, jsonify, request)
from flask_jwt_extended import (create_access_token, get_jwt_identity, jwt_required, JWTManager)app = Flask(__name__)# 设置 Flask-JWT-Extended 扩展
app.config["JWT_SECRET_KEY"] = "super-secret"  # 修改为你自己的密钥
jwt = JWTManager(app)# 创建一个路由来验证您的用户并返回JWTs。create_access_token() 函数用于实际生成JWT。
@app.route("/login", methods=["POST"])
def login():username = request.json.get("username", None)password = request.json.get("password", None)if username != "test" or password != "test":return jsonify({"msg": "Bad username or password"}), 401access_token = create_access_token(identity=username)return jsonify(access_token=access_token)# 受保护的路由，需要JWT认证
@app.route("/protected", methods=["GET"])
@jwt_required()  # 这个装饰器要求请求必须携带有效的JWT令牌
def protected():# 使用get_jwt_identity访问当前用户的身份current_user = get_jwt_identity()return jsonify(logged_in_as=current_user), 200if __name__ == "__main__":app.run()
2.3.2 无token请求

请求http://127.0.0.1:5000/protected，

  • 因为 JWT 认证没通过，可以看到提示缺少授权的请求头，下面去申请一个token
2.3.3 申请token

传入data，username 和 password 都是test，

import requestsurl = 'http://127.0.0.1:5000/login'
data = {'username': 'test','password': 'test'
}
resp = requests.post(url, json=data)
print(resp.status_code)
print(resp.json())

代码运行效果如下：

在申请到 access_token之后，按照下面的形式，添加到请求头中

Authorization: Bearer <access_token>
2.3.4 有token请求

可以看到成功返回了用户的身份，

import requestsurl = 'http://127.0.0.1:5000/protected'
headers = {'Authorization': 'Bearer xxxxxxxxxxxxxxx'
}
resp = requests.get(url, headers=headers)
print(resp.status_code)
print(resp.json())

代码运行效果如下：

2.3.5 设置token有效期

设置JWT的过期时间是一种重要的安全措施，可以帮助确保令牌不会无限期有效，提高了应用程序的安全性。

注意，这里使用的是访问token。

方法一：

使用 app.config['JWT_ACCESS_TOKEN_EXPIRES'] 来设置JWT的访问token默认过期时间为1小时。

# 设置ACCESS_TOKEN的默认过期时间为1小时
app.config['JWT_ACCESS_TOKEN_EXPIRES'] = timedelta(hours=1)

方法二：

当使用create_access_token函数创建JWT令牌时，也可以通过传递expires_delta参数来覆盖默认的过期时间，例如：

  • 这将覆盖默认的过期时间，使得令牌在30分钟后过期。
from datetime import timedelta# 设置ACCESS_TOKEN的默认过期时间为30分钟
access_token = create_access_token(identity=username, expires_delta=timedelta(minutes=30))

当 token过期后，请求效果如下：

  • 就会提示Token过期啦。

2.3.6 刷新token

这里要明确一下两个令牌概念，token分两种，具体可以查看下表

访问token（Access Token）刷新token（Refresh Token）
用途用于访问受保护的资源用于获取新的访问token
生命周期默认为15分钟默认为30天
显式指定生命周期 JWT_ACCESS_TOKEN_EXPIRESJWT_REFRESH_TOKEN_EXPIRES
储存方式在请求的头信息（Header）中的 “Authorization” 字段中一般存储在服务器端的数据库

每个用户生成的刷新token和访问token是一一对应的，

当用户登录成功后，服务器会为该用户生成一对刷新token和访问token，并将它们关联到用户的身份（通常是用户的用户名或ID）。这样，每个用户都有自己唯一的刷新token和访问token。

刷新token用于获取新的访问token，以延长用户的会话时间。只有拥有有效的刷新token的用户才能获取新的访问token，而访问token则用于实际访问受保护的资源。

在上面的 flask_jwt_extended 代码中，修改了login函数，和添加了refresh函数，

# 创建一个路由来验证您的用户并返回JWTs。create_access_token() 函数用于实际生成JWT。
@app.route("/login", methods=["POST"])
def login():username = request.json.get("username", None)password = request.json.get("password", None)if username != "test" or password != "test":return jsonify({"msg": "Bad username or password"}), 401access_token = create_access_token(identity=username)refresh_token = create_refresh_token(identity=username)return jsonify(access_token=access_token, refresh_token=refresh_token)# 使用刷新token获取新的访问token
@app.route("/refresh", methods=["POST"])
@jwt_required(refresh=True)  # 使用刷新token进行验证
def refresh():current_user = get_jwt_identity()access_token = create_access_token(identity=current_user)return jsonify(access_token=access_token)

一般来说，刷新token的有效时长会比访问token的有效时长更长，所以在访问token失效时候，可以使用刷新token去获得新的访问token。这样做的有几个优点：

  1. 用户体验：用户不需要重新输入用户名和密码，而只需提供有效的刷新token，就可以轻松地获取新的访问token。
  2. 安全性：如果用户的刷新token被泄露，攻击者仍然需要有效的用户名和密码才能获得新的访问token。这增加了安全性，因为攻击者无法仅凭刷新token获得新的访问token。
  3. 减少身份验证：用户不需要频繁地重新进行完整的身份验证，这可以减轻服务器的负担，并提高性能。

总之，/refresh 路由的主要目的是提供一种方便的方式来获取新的访问token，减少重复的登录操作，而不需要重新提供用户名和密码，同时提高了安全性。

2.3.6.1 获取两种token

在加上以上的代码之后，继续来看看运行效果。

访问 ‘http://127.0.0.1:5000/login’，可以得到以下结果。可以看到获得了两种token，

2.3.6.2 访问token过期

在访问token过期的情况下，访问如下所示，这个时候需要使用 刷新token 去获得新的 访问token。

2.3.6.3 获取新的访问token

当使用 刷新token去访问 refresh时候，服务端就会给我们返回 新的 访问token 。

关于JWT的介绍到此结束！

4. 改写后端API代码

以下是添加了用户认证与授权的 持久化数据存储的图书管理系统后端API代码，直接拿来就用！！！

  • 校验账号密码这里，密码千万不要用明文，千万不要用明文！！！
# -*- coding: utf-8 -*-from datetime import timedeltafrom flask_sqlalchemy import SQLAlchemy
from flask import (Flask, jsonify, request)
from flask_jwt_extended import (JWTManager, jwt_required, create_access_token, get_jwt_identity, create_refresh_token)app = Flask(__name__)
app.config['SQLALCHEMY_DATABASE_URI'] = 'mysql://root:123456@localhost/flask'  # 替换为你的数据库 URI
app.config['SQLALCHEMY_TRACK_MODIFICATIONS'] = False
db = SQLAlchemy(app)app.config['JWT_SECRET_KEY'] = '1234567890'  # 替换为你的密钥
app.config['JWT_ACCESS_TOKEN_EXPIRES'] = timedelta(minutes=10)  # 设置JWT的默认过期时间为10分钟
# app.config['JWT_REFRESH_TOKEN_EXPIRES'] = timedelta(days=30)
jwt = JWTManager(app)# 定义Book模型类
class Book(db.Model):book_id = db.Column(db.Integer, primary_key=True, unique=True, nullable=False)title = db.Column(db.String(100), nullable=False)author = db.Column(db.String(50), nullable=False)# 创建一个路由来验证您的用户并返回JWTs。create_access_token() 函数用于实际生成JWT。
@app.route("/login", methods=["POST"])
def login():username = request.json.get("username", None)password = request.json.get("password", None)if username != "test" or password != "test":return jsonify({"msg": "Bad username or password"}), 401access_token = create_access_token(identity=username)refresh_token = create_refresh_token(identity=username)return jsonify(access_token=access_token, refresh_token=refresh_token)# 受保护的路由，需要JWT认证
@app.route("/protected", methods=["GET"])
@jwt_required()  # 这个装饰器要求请求必须携带有效的JWT令牌
def protected():# 使用get_jwt_identity访问当前用户的身份current_user = get_jwt_identity()return jsonify(logged_in_as=current_user), 200# 使用刷新令牌获取新的访问令牌
@app.route("/refresh", methods=["POST"])
@jwt_required(refresh=True)  # 使用刷新令牌进行验证
def refresh():current_user = get_jwt_identity()access_token = create_access_token(identity=current_user)return jsonify(access_token=access_token)# 获取所有书籍
@app.route("/books", methods=["GET"])
@jwt_required()
def get_all_books():books = Book.query.all()book_list = [{"id": book.book_id, "title": book.title, "author": book.author} for book in books]return jsonify(book_list), 200# 获取特定书籍
@app.route("/books/<int:book_id>", methods=["GET"])
@jwt_required()
def get_book(book_id):book = Book.query.get(book_id)if book:return jsonify({"id": book.book_id, "title": book.title, "author": book.author}), 200return jsonify({"error": "Book not found."}), 404# 创建新书籍
@app.route("/books", methods=["POST"])
@jwt_required()
def create_book():data = request.jsonnew_book = Book(title=data["title"], author=data["author"])db.session.add(new_book)db.session.commit()return jsonify({"id": new_book.book_id, "title": new_book.title, "author": new_book.author}), 201# 更新书籍信息
@app.route("/books/<int:book_id>", methods=["PUT"])
@jwt_required()
def update_book(book_id):book = Book.query.get(book_id)if book:data = request.jsonbook.title = data["title"]book.author = data["author"]db.session.commit()return jsonify({"id": book.book_id, "title": book.title, "author": book.author}), 200return jsonify({"error": "Book not found."}), 404# 删除书籍
@app.route("/books/<int:book_id>", methods=["DELETE"])
@jwt_required()
def delete_book(book_id):book = Book.query.get(book_id)if book:db.session.delete(book)db.session.commit()return "", 204return jsonify({"error": "Book not found."}), 404if __name__ == "__main__":app.run(debug=True)

5. 请求端代码

下面展示了用户如何使用 Python 的 requests 库来发送带有 JWT 令牌的请求，以获取受保护的数据：

  • 如果访问token（Access Token）过期，Flask-JWT-Extended会自动返回错误响应，不需要手动验证过期。
  • @jwt_required() # 这个装饰器会自动验证令牌的有效性和过期状态
  • 这里使用 装饰器实现了当 访问token失效后通过 刷新token来生成一个新的 访问token
# -*- coding: utf-8 -*-import time
import requests# 定义 API 服务的基本 URL
BASE_URL = 'http://127.0.0.1:5000'
access_token = str()
refresh_token = str()def login(uname: str, passwd: str):login_url = f"{BASE_URL}/login"data = {"username": uname, "password": passwd}resp = requests.post(login_url, json=data)if resp.status_code == 200:return resp.json().get("access_token"), resp.json().get("refresh_token")else:print("Login failed.")return None, Nonedef refresh_access_token():global access_tokenrefresh_url = f"{BASE_URL}/refresh"headers = {"Authorization": f"Bearer {refresh_token}"}resp = requests.post(refresh_url, headers=headers)if resp.status_code == 200:access_token = resp.json().get("access_token")return Trueelse:print("Token refresh failed.")return Nonedef with_refresh(func):def wrapper(*arg, **kwargs):try:resp = func(*arg, **kwargs)if resp.status_code == 401:raise Exception(resp.json().get('msg'))else:return respexcept Exception as e:print(f"Error: {e}")new_access_token = refresh_access_token()if new_access_token:return func(*arg, **kwargs)else:print("Token refresh failed.")return Nonereturn wrapper@with_refresh
def get_protected_data():headers = {"Authorization": f"Bearer {access_token}"}protected_url = f"{BASE_URL}/books"return requests.get(protected_url, headers=headers)if __name__ == "__main__":access_token, refresh_token = login("test", "test")response = get_protected_data()print(response.json())time.sleep(62)response = get_protected_data()print(response.json())

在这个示例中，

  • login 函数负责发送登录请求并获取 JWT 令牌。

  • 获得令牌后，get_protected_data 函数使用获得的 JWT 令牌来获取受保护的数据。

  • 如果 访问token失效了，则会调用 refresh_access_token 函数来获取新的 访问token

总结

这篇文章介绍了如何在 Flask 中使用 JSON Web Token（JWT） 进行用户认证和授权。它包括以下主要内容：

  1. JWT介绍：解释了JWT的基本原理，包括JWT的结构和生成验证过程。
  2. Flask-JWT-Extended简介：介绍了Flask-JWT-Extended扩展，它是一个用于在 Flask 应用程序中添加JWT支持的插件。
  3. JWT的基础用法：演示了如何使用 Flask-JWT-Extended 实现用户登录、JWT生成以及受保护路由的访问。还包括了设置JWT过期时间和刷新令牌的功能。
  4. 改写后端API代码：提供了一个示例，展示如何将JWT用户认证与授权集成到持久化数据存储的图书管理系统后端API中。
  5. 请求端代码：展示了如何使用Python的requests库发送带有JWT令牌的请求来获取受保护的数据，并在访问令牌过期时自动刷新令牌。

总的来说，这篇文章为小菜提供了使用JWT进行用户认证和授权的详细指南。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/162072.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

10个免费3D模型网站

10个免费3D模型网站

作为一名独立游戏开发者，自己创建图形、配乐、动画和更多东西是相当具有挑战性的。 创建资产所需的成本和时间有时是许多游戏开发商无法承受的。 这就是他们选择在互联网上搜索免费内容的原因。现在，在浩瀚的内容海洋中获得如此免费的东西有点困难。 本文列出了 10 个免费 3D…
阅读更多...
【Spring】注解

【Spring】注解

文章目录 1. 前言2.注解开发的准备工作3. IOC相关注解DI相关注解 4. DI相关注解4.1 Value4.2 AutoWired4.3 Qualifier 5. xml配置文件相关注解5.1 Configuration5.2 ComponensScan 6.Bean注解7. PropertySource 1. 前言 Spring支持使用注解代替xml配置,注解开发可以简化配置. …
阅读更多...
NSSCTF web刷题记录4

NSSCTF web刷题记录4

文章目录 [NSSRound#4 SWPU]1zweb(revenge)[强网杯 2019]高明的黑客[BJDCTF 2020]Cookie is so subtle![MoeCTF 2021]fake game[第五空间 2021]PNG图片转换器[ASIS 2019]Unicorn shop[justCTF 2020]gofs[UUCTF 2022 新生赛]phonecode[b01lers 2020]Life On Mars[HZNUCTF 2023 f…
阅读更多...
Educational Codeforces Round 2 D 计算几何

Educational Codeforces Round 2 D 计算几何

题目链接&#xff1a;Educational Codeforces Round 2 D 题目 给你两个圆。求它们相交处的面积。 输入 第一行包含三个整数 x1, y1, r1 (  - 109 ≤ x1, y1 ≤ 109, 1 ≤ r1 ≤ 109 ) - 第一个圆的圆心位置和半径。 第二行包含三个整数 x2, y2, r2 (  …
阅读更多...
【Pytorch】计算机视觉项目——卷积神经网络CNN模型识别图像分类

【Pytorch】计算机视觉项目——卷积神经网络CNN模型识别图像分类

目录 一、前言二、CNN可视化解释器1. 卷积层工作原理 三、详细步骤说明1. 数据集准备2.DataLoader3. 搭建模型CNN3.1 设置设备3.2 搭建CNN模型3.3 设置loss 和 optimizer3.4 训练和测试循环 4. 模型评估和结果输出 一、前言 在上一篇笔记《【Pytorch】整体工作流程代码详解&am…
阅读更多...
虚析构函数

虚析构函数

1)类指针指向本身的对象 Son *xiaoming new Son; delete xiaoming; 构造及析构顺序&#xff1a; 父类构造 子类构造&#xff1b; 子类析构&#xff1b; 父类析构。 2)父类指针指向子类对象,&#xff0c;父类析构函数不是虚函数 Father *father new Son; delete f…
阅读更多...
YOLOv5源码中的参数超详细解析（5）— 验证部分（val.py）参数解析

YOLOv5源码中的参数超详细解析（5）— 验证部分（val.py）参数解析

前言：Hello大家好，我是小哥谈。YOLOv5是一种先进的目标检测算法，它可以实现快速和准确的目标检测。在YOLOv5源码中，train.py和detect.py文件讲完了之后，接着就是讲val.py文件了。本节课就结合源码对val.py文件进行逐行解析~！🌈 前期回顾： YOLOv5源码中的参数超详细解…
阅读更多...
RK3566上运行yolov5模型进行图像识别

RK3566上运行yolov5模型进行图像识别

一、简介 本文记录了依靠RK官网的文档&#xff0c;一步步搭建环境到最终在rk3566上把yolov5 模型跑起来。最终实现的效果如下&#xff1a; 在rk3566 板端运行如下app&#xff1a; ./rknn_yolov5_demo model/RK356X/yolov5s-640-640.rknn model/bus.jpg其中yolov5s-640-640.r…
阅读更多...
GPT学习笔记

GPT学习笔记

百度的文心一言 阿里的通义千问 通过GPT能力&#xff0c;提升用户体验和产品力 GPT的出现是AI的iPhone时刻。2007年1月9日&#xff0c;第一代iPhone发布&#xff0c;开启移动互联网时代。新一轮的产业革命。 GPT模型发展时间线&#xff1a; Copilot - 副驾驶 应用&#xf…
阅读更多...
基于DevEco Studio的OpenHarmony应用原子化服务（元服务）入门教程

基于DevEco Studio的OpenHarmony应用原子化服务（元服务）入门教程

一、创建项目 二、创建卡片 三、应用服务代码 Index.ets Entry Component struct Index {State TITLE: string OpenHarmony;State CONTEXT: string 创新召见未来&#xff01;;build() {Row() {Column() {Text(this.TITLE).fontSize(30).fontColor(0xFEFEFE).fontWeight(…
阅读更多...
基于SpringAOP实现自定义接口权限控制

基于SpringAOP实现自定义接口权限控制

文章目录 一、接口鉴权方案分析1、接口鉴权方案2、角色分配权限树 二、编码实战1、定义权限树与常用方法2、自定义AOP注解3、AOP切面类&#xff08;也可以用拦截器实现&#xff09;4、测试一下 一、接口鉴权方案分析 1、接口鉴权方案 目前大部分接口鉴权方案&#xff0c;一般…
阅读更多...
SurfaceFlinger的硬件Vsync深入分析-千里马android framework车机手机系统开发

SurfaceFlinger的硬件Vsync深入分析-千里马android framework车机手机系统开发

背景&#xff1a; 学过或者你看过surfaceflinger相关文章同学都知道&#xff0c;vsync其实都是由surfaceflinger软件层面进行模拟的&#xff0c;但是软件模拟有可能会有误差或偏差&#xff0c;这个时候就需要有个硬件vsync帮忙校准。 故才会在surfaceflinger的systrace出现如下…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023