jwt

jwt(JSON Web Tokens),是一种开发的行业标准 RFC 7519 ,用于安全的表示双方之间的声明。目前,jwt广泛应用在系统的用户认证方面,特别是现在前后端分离项目。

 

介绍

1流程图

 

 

 2 比较

传统token方式和jwt在认证方面有什么差异?

  • 传统token方式

    1. 用户登录成功后,服务端生成一个随机token给用户,并且在服务端(数据库或缓存)中保存一份token,以后用户再来访问时需携带token,服务端接收到token之后,去数据库或缓存中进行校验token的是否超时、是否合法。
  • jwt方式

    1. 用户登录成功后,服务端通过jwt生成一个随机token给用户(服务端无需保留token),以后用户再来访问时需携带token,服务端接收到token之后,通过jwttoken进行校验是否超时、是否合法。

安装

pip3 install pyjwt

代码

from django.test import TestCase

# Create your tests here.

import jwt
import datetime
from jwt import exceptions
SALT = 'iv%x6xo7l7_u9bf_u!9#g#m*)*=ej@bek5)(@u3kh*72+unjv='

def create_token():
    # 构造header
    headers = {
        'typ': 'jwt',
        'alg': 'HS256'
    }
    # 构造payload
    payload = {
        'username': 'hua', # 自定义用户名
        'exp': datetime.datetime.utcnow() + datetime.timedelta(minutes=5) # 超时时间
    }
    result = jwt.encode(payload=payload, key=SALT, algorithm="HS256", headers=headers)
    return result


def get_payload(token):
    """
    根据token获取payload
    :param token:
    :return:
    """
    try:
        # 从token中获取payload【不校验合法性】
        # unverified_payload = jwt.decode(token, None, False)
        # print(unverified_payload)
        # 从token中获取payload【校验合法性】
        verified_payload = jwt.decode(token, SALT,['HS256'])
        return verified_payload
    except exceptions.ExpiredSignatureError:
        print('token已失效')
    except jwt.DecodeError:
        print('token认证失败')
    except jwt.InvalidTokenError:
        print('非法的token')


if __name__ == '__main__':
    token = create_token()
    print(token)
    payload = get_payload(token)
    print(payload)

 

原理

jwt的生成token格式如下,即:由 . 连接的三段字符串组成。

  1. eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

生成规则如下:

  • 第一段HEADER部分,固定包含算法和token类型,对此json进行base64url加密,这就是token的第一段。

    1. {
    2. "alg":"HS256",
    3. "typ":"JWT"
    4. }
  • 第二段PAYLOAD部分,包含一些数据,对此json进行base64url加密,这就是token的第二段。

    1. {
    2. "sub":"1234567890",
    3. "name":"John Doe",
    4. "iat":1516239022
    5. ...
    6. }
  • 第三段SIGNATURE部分,把前两段的base密文通过.拼接起来,然后对其进行HS256加密,再然后对hs256密文进行base64url加密,最终得到token的第三段。

    1. base64url(
    2. HMACSHA256(
    3. base64UrlEncode(header)+"."+ base64UrlEncode(payload),
    4. your-256-bit-secret (秘钥加盐)
    5. )
    6. )

最后将三段字符串通过 .拼接起来就生成了jwt的token。

注意:base64url加密是先做base64加密,然后再将 - 替代 + 及 _ 替代 / 。

2.1 原理

jwt的生成token格式如下,即:由 . 连接的三段字符串组成。

  1. eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

生成规则如下:

  • 第一段HEADER部分,固定包含算法和token类型,对此json进行base64url加密,这就是token的第一段。

    1. {
    2. "alg":"HS256",
    3. "typ":"JWT"
    4. }
  • 第二段PAYLOAD部分,包含一些数据,对此json进行base64url加密,这就是token的第二段。

    1. {
    2. "sub":"1234567890",
    3. "name":"John Doe",
    4. "iat":1516239022
    5. ...
    6. }
  • 第三段SIGNATURE部分,把前两段的base密文通过.拼接起来,然后对其进行HS256加密,再然后对hs256密文进行base64url加密,最终得到token的第三段。

    1. base64url(
    2. HMACSHA256(
    3. base64UrlEncode(header)+"."+ base64UrlEncode(payload),
    4. your-256-bit-secret (秘钥加盐)
    5. )
    6. )

最后将三段字符串通过 .拼接起来就生成了jwt的token。

注意:base64url加密是先做base64加密,然后再将 - 替代 + 及 _ 替代 / 。

posted @ 2021-06-01 15:26  风hua  阅读(63)  评论(0编辑  收藏  举报