用讲故事的方法讲述 JWT

JWT 就像一张门禁卡

小明管理着一个小区的物业，负责整个小区的出入安全。刚开始的时候小明决定要保险一点，所有出入小区的都要验证业主的本人信息。

所以他搞了个规定，每个进小区的人都要验证身份证和指纹，通过后台证明你是业主才让你进去。刚开始的时候这个规定还行，但是随着小区的出入人员变多，处理速度太慢，小区业主经常需要排队进入小区。

收到了大量的投诉电话只后小明决定反思一下，决定使用门禁卡来解决这个效率问题。他于是让业主去物业做一个一次性的身份验证，通过了之后就发一张门禁卡给业主，不过门禁卡有期限限制，半年之后就需要更新一下，而且业主刷卡的时候，物业只需要验证下这是不是我们发的业主卡就行了。

物业在处理门禁卡信息的时候，会从门禁卡里面解密信息，那个信息里面带有业主自己本人的信息。

在这个故事里面，

• 第一个的每次进入小区都需要验证就是传统的session登录方法
• 门禁卡制度就是jwt

用python实践 JWT

使用JWT实践的方法很简单，就是分三部分。

• 服务器验证是否是用户
• 服务器为用户生成一个TOKEN
• 用户访问服务器的时候带着那个TOKEN
• 服务验证TOKEN是否合法
• 用户访问内容

完整的例子

from flask import Flask, jsonify, request
from flask_jwt_extended import (
    JWTManager, jwt_required, create_access_token,
    get_jwt_identity
)

app = Flask(__name__)

# Setup the Flask-JWT-Extended extension
app.config['JWT_SECRET_KEY'] = 'super-secret'  # Change this!
jwt = JWTManager(app)


# Provide a method to create access tokens. The create_access_token()
# function is used to actually generate the token, and you can return
# it to the caller however you choose.
@app.route('/login', methods=['POST'])
def login():
    if not request.is_json:
        return jsonify({"msg": "Missing JSON in request"}), 400

    username = request.json.get('username', None)
    password = request.json.get('password', None)
    if not username:
        return jsonify({"msg": "Missing username parameter"}), 400
    if not password:
        return jsonify({"msg": "Missing password parameter"}), 400

    if username != 'test' or password != 'test':
        return jsonify({"msg": "Bad username or password"}), 401

    # Identity can be any data that is json serializable
    # 服务器为用户生成一个TOKEN
    access_token = create_access_token(identity=username)
    return jsonify(access_token=access_token), 200


# Protect a view with jwt_required, which requires a valid access token
# in the request to access.
@app.route('/protected', methods=['GET'])
@jwt_required
def protected():
    # Access the identity of the current user with get_jwt_identity
    # 服务验证TOKEN是否合法
    current_user = get_jwt_identity()
    # 用户访问内容
    return jsonify(logged_in_as=current_user), 200


if __name__ == '__main__':
    app.run()

运行该程序

• 用户如何获得token

curl -H "Content-Type: application/json" -X POST \
  -d '{"username":"test","password":"test"}' http://localhost:5000/login

代码会返回类似于

{"access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJmcmVzaCI6dHJ1ZSwianRpIjoiZjhmNDlmMjUtNTQ4OS00NmRjLTkyOWUtZTU2Y2QxOGZhNzRlIiwidXNlcl9jbGFpbXMiOnt9LCJuYmYiOjE0NzQ0NzQ3OTEsImlhdCI6MTQ3NDQ3NDc5MSwiaWRlbnRpdHkiOiJ0ZXN0IiwiZXhwIjoxNDc0NDc1NjkxLCJ0eXBlIjoiYWNjZXNzIn0.vCy0Sec61i9prcGIRRCbG8e9NV6_wFH2ICFgUGCLKpc"}

• 用户访问的过程中带上token

export ACCESS="eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJmcmVzaCI6dHJ1ZSwianRpIjoiZjhmNDlmMjUtNTQ4OS00NmRjLTkyOWUtZTU2Y2QxOGZhNzRlIiwidXNlcl9jbGFpbXMiOnt9LCJuYmYiOjE0NzQ0NzQ3OTEsImlhdCI6MTQ3NDQ3NDc5MSwiaWRlbnRpdHkiOiJ0ZXN0IiwiZXhwIjoxNDc0NDc1NjkxLCJ0eXBlIjoiYWNjZXNzIn0.vCy0Sec61i9prcGIRRCbG8e9NV6_wFH2ICFgUGCLKpc"

然后访问接口

curl -H "Authorization: Bearer $ACCESS" http://localhost:5000/protected

最后返回

{
  "logged_in_as": "test"
}