create_access_token() 报错缺少 identity 参数，因其为必填的 json-serializable 值（如 user_id、str、dict），不可为 none、数据库模型实例或不可序列化对象；identity 作为 jwt 的 sub 字段，是后续权限校验和 user_lookup_loader 查找用户的基础。
为什么 create_access_token() 报错说缺少 identity 参数
这是最常卡住的第一步：调用 create_access_token() 时抛出 TypeError: create_access_token() missing 1 required positional argument: 'identity'。它不接受空值或 None，必须传一个能被序列化的标识（比如用户 ID、用户名、字典等）。
关键点在于：identity 是 JWT payload 中的 sub（subject）字段来源，后续所有权限校验都依赖它。Flask-JWT-Extended 不管你用什么做 identity，但它得是 JSON-serializable 的——int、str、dict 都行，但别传数据库模型实例或带方法的对象。
- ✅ 推荐：传用户主键
user_id（int或str），后续在@jwt.user_lookup_loader里查库还原用户 - ⚠️ 慎用：传整个
user.to_dict()字典——会增大 token 体积，且敏感字段（如密码哈希）容易误塞进去 - ❌ 错误：传
current_user对象本身，会触发TypeError: Object of type User is not JSON serializable
如何让 @jwt.user_lookup_loader 正确加载用户对象
这个装饰器定义的是“token 解析后，怎么根据 identity 找回用户”。它不是可选的——只要用了 get_current_user() 或 current_user，就必须设好它，否则会报 LookupError: No user loader configured。
它的函数签名固定为 def callback(jwt_header, jwt_data)，其中 jwt_data['sub'] 就是你当初传给 create_access_token(identity=...) 的值。返回值必须是用户对象（或 None，表示用户不存在）。
- ✅ 示例：用 SQLAlchemy 查用户
@jwt.user_lookup_loader def user_lookup_callback(_jwt_header, jwt_data): identity = jwt_data["sub"] return User.query.get(identity) - ⚠️ 注意：如果 identity 是字符串用户名，就得用
User.query.filter_by(username=identity).first() - ⚠️ 性能提示：这里不适合做复杂查询或 N+1 操作；若需关联角色/权限，建议缓存或预加载，而不是每次 token 校验都 join 表
为什么 @jwt_required() 返回 401 却没提示具体原因
默认情况下，Flask-JWT-Extended 对所有验证失败（过期、签名无效、缺失 header）都统一返回 401 Unauthorized 和空响应体，不利于前端调试。你需要显式配置错误处理器来区分场景。
常见失效类型包括：ExpiredSignatureError、InvalidSignatureError、NoAuthorizationError（header 缺失）、WrongTokenError（用了 refresh token 调 access 接口）等。
- ✅ 必配：捕获
ExpiredSignatureError并返回明确信息@jwt.expired_token_loader def expired_token_callback(jwt_header, jwt_payload): return {"error": "token_expired", "message": "Token 已过期"}, 401 - ✅ 建议：同时配
@jwt.invalid_token_loader和@jwt.unauthorized_loader，分别处理签名错误和无 Authorization header 的情况 - ⚠️ 注意：这些 handler 返回的必须是
(dict, int)元组，不能只 return dict；否则会触发内部 500
access token 和 refresh token 怎么配合使用才安全
单纯用 create_access_token() 生成短时效 token 是不够的——用户不该频繁重新登录。必须搭配 create_refresh_token() 和 @jwt.refresh_token_required() 实现自动续期，但有三个硬性约束点容易被忽略：
- ✅ refresh token 必须用独立密钥签名（通过
JWT_REFRESH_TOKEN_EXPIRES控制其有效期，通常设为 7–30 天） - ✅ access token 过期后，前端要用
POST /refresh提交 refresh token（放在Authorization: Bearer <refresh_token></refresh_token>），后端用get_jwt_identity()获取原用户 identity，再发新 access token - ⚠️ 关键安全点：refresh token 一旦使用，应立即作废（例如存入 Redis 黑名单 + 设置过期时间），否则重放攻击风险极高；Flask-JWT-Extended 不自动帮你干这事，得自己实现
@jwt.token_in_blocklist_loader
最常漏掉的是 blocklist 机制——没有它，被盗的 refresh token 就等于永久通行证。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
