单Token机制在前后端分离场景下存在安全风险，因refresh逻辑暴露导致无法安全退出；双Token机制通过分离短期access_token（15分钟、不存库）与长期refresh_token（7天、存库绑定设备指纹），配合PyJWT签发校验、统一鉴权装饰器及刷新接口的三重防护（存在性校验、旧token作废、并发控制），实现安全可控的权限生命周期管理。
为什么不能只用一个 JWT Token 做 Flask 鉴权
单 Token（比如只用 access_token）在前后端分离场景下会直接暴露刷新逻辑：前端一旦拿到可刷新的 token，就可能被恶意复用或长期持有，导致无法安全退出、无法及时吊销。双 Token 机制把短期访问凭证和长期刷新凭证拆开，让 access_token 过期快（如 15 分钟）、不存数据库，refresh_token 过期慢（如 7 天）、必须服务端存储并绑定设备/指纹，才能真正控制权限生命周期。
Flask 默认不处理 Token 刷新流程，也不自动校验 refresh_token 的合法性，得自己补全这层逻辑。
-
access_token仅用于 API 请求鉴权，过期即失效，不入库 -
refresh_token必须存入数据库（如 Redis 或 SQLAlchemy 表），带user_id、fingerprint、expires_at、is_revoked - 前端每次请求带
Authorization: Bearer <access_token></access_token>；刷新时用refresh_token换新access_token，且必须验证指纹一致性
如何用 PyJWT 在 Flask 中签发双 Token 并校验
PyJWT 本身不区分 Token 类型，靠 payload 字段和密钥策略来隔离。推荐用两个不同密钥（或同一密钥但不同 algorithm + 严格 aud 声明）避免混淆。
签发示例（使用 secrets.token_urlsafe() 生成 refresh_token 字符串，JWT 只用于 access_token）：
return secrets.token_urlsafe(32)
校验时注意：jwt.decode() 必须显式传 algorithms=["HS256"]，否则可能被降级攻击；exp 和 iat 必须校验，且 iat 应限制在“当前时间前 60 秒内”，防重放。
Flask 路由怎么统一拦截 access_token 并透传用户信息
别在每个视图里重复写 jwt.decode() ——用 @app.before_request 或自定义装饰器提取并挂载到 g 对象上。关键点是：只解析，不执行业务逻辑；异常必须捕获并返回标准错误格式（如 401 + JSON）。
推荐装饰器写法（支持可选鉴权）：
from functools import wraps
from flask import request, g, jsonify
import jwt
<p>def require_auth(optional: bool = False):
def decorator(f):
@wraps(f)
def decorated_function(*args, *<em>kwargs):
auth_header = request.headers.get("Authorization")
if not auth_header or not auth_header.startswith("Bearer "):
if optional:
g.current_user = None
return f(</em>args, **kwargs)
return jsonify({"error": "Missing Authorization header"}), 401</p><pre class="brush:php;toolbar:false;"> token = auth_header[7:]
try:
payload = jwt.decode(
token,
current_app.config["ACCESS_SECRET"],
algorithms=["HS256"],
options={"require": ["exp", "iat", "user_id"]}
)
# 额外校验 fingerprint 是否匹配（从 request 获取，如 UA + IP 哈希）
if payload.get("fingerprint") != get_fingerprint(request):
raise jwt.InvalidTokenError("Fingerprint mismatch")
g.current_user = payload["user_id"]
except jwt.ExpiredSignatureError:
return jsonify({"error": "Token expired"}), 401
except jwt.InvalidTokenError as e:
return jsonify({"error": "Invalid token"}), 401
return f(*args, **kwargs)
return decorated_function
return decorator
使用：@require_auth() 用在需要鉴权的路由上；@require_auth(optional=True) 用在登录、刷新等免鉴权接口。
refresh_token 刷新接口容易忽略的三个细节
这个接口看似简单，但线上出问题最多：token 被盗用、并发刷新冲突、旧 token 未及时失效。
- 必须校验
refresh_token是否存在于数据库，且is_revoked == False、expires_at > now - 刷新成功后，**立即作废旧
refresh_token**（设is_revoked = True），再生成新refresh_token—— 否则一次泄露等于永久有效 - 如果前端并发调用刷新（比如页面重试），要用数据库行锁或 Redis SETNX 保证“一刷一换”，避免生成多个有效
refresh_token
尤其注意：不要把 refresh_token 放进 JWT payload 签发，它只是数据库主键或索引值；它的安全性靠存储层保护（如 Redis 的 TTL + auth）和传输层保护（HTTPS-only Cookie 或加密 body）。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
