如何使用Python自动化获取公开API的Token并管理过期刷新？-Python教程-PHP中文网

不能靠“自动化获取”公开api的token，必须按oauth2协议手动完成首次授权并安全存储access_token与refresh_token，后续通过refresh_token定期刷新。

如何使用python自动化获取公开api的token并管理过期刷新？

直接说结论：不能靠“自动化获取”公开 API 的 Token，必须按目标 API 的认证协议走流程；所谓“管理刷新”，本质是正确实现 OAuth2 的 refresh_token 流程或维护 session + 定期重登录，且绝大多数公开 API 不允许自动触发首次授权。

为什么不能“自动化获取”Token？

公开 API（如 GitHub、Notion、Slack）的 Token 获取通常依赖 OAuth2 授权码流程，需用户显式点击“Allow”并跳转到授权页——这一步无法绕过，浏览器弹窗、CSRF token、state 参数、PKCE 都是为防自动化滥用而设。试图用 requests 模拟登录页面或硬编码账号密码，轻则返回 403 Forbidden，重则触发风控封 IP 或账号。

常见错误现象：

用 requests.post("https://api.example.com/auth", data={"username": "...", "password": "..."}) 直接发凭据 → 返回 401 Unauthorized 或空响应
爬取登录页 HTML 提取表单字段再 POST → 返回 422 Unprocessable Entity 或跳转到验证码页
把别人给的临时 access_token 硬编码进脚本 → 几小时后失效，脚本报错 {"error": "invalid_token"}

如何合法拿到第一个 Token 并存下来？

手动走一次 OAuth2 授权流程，拿到 access_token 和 refresh_token（如果 API 支持），然后安全保存。关键点不是“自动化”，而是“可复用”和“不暴露”。

temporal-python-testing

使用 pytest、时间跳转和模拟策略测试 Temporal 工作流。涵盖单元测试、集成测试、回放测试以及本地开发服务器。

下载

用本地服务器接收回调：启动一个临时 http://localhost:8000/callback，在浏览器打开授权 URL 后，API 会重定向至此并带上 code 参数
用 requests.post 换取 token：向 https://api.example.com/oauth/token 发送 code、client_id、client_secret、redirect_uri，得到 JSON 响应
把返回的 access_token 和 refresh_token 存进本地文件（如 ~/.myapp/token.json），权限设为 600；别写进代码或 Git
部分 API（如 GitHub）提供 Personal Access Token，可手动在网页生成，适合脚本场景，但需勾选最小 scope，且不带 refresh_token

怎样安全刷新即将过期的 access_token？

只有拿到 refresh_token 才能刷新；没有它，就只能重新走授权流程。刷新请求本身是纯后端行为，不涉及浏览器。

检查 expires_in 字段（单位秒），或记录获取时间 + 缓存有效期，在到期前 60 秒发起刷新
向同一 token endpoint 发 POST，参数换成：grant_type=refresh_token、refresh_token=xxx、client_id、client_secret
成功响应会返回新的 access_token、新 expires_in，**可能还有新 refresh_token（有些 API 会轮换）**，务必覆盖旧值
失败时（如 {"error": "invalid_grant"}），说明 refresh_token 已失效，必须人工重新授权
不要在每次请求前都刷新——token 刷新有频次限制（如 GitHub 限 10 次/小时），频繁刷会导致被拒

Python 实操中容易忽略的细节

Token 管理不是写个函数就行，核心是状态持久化与异常兜底。

用 json.load()/json.dump() 读写 token 文件时，加 os.chmod(path, 0o600) 锁权限
刷新逻辑要包裹在 try/except 中，捕获 requests.exceptions.RequestException 和 HTTP 4xx/5xx，区分网络失败和认证失败
避免全局变量存 token：多线程下会冲突，改用类实例属性或带锁的单例
某些 API（如 Notion）的 access_token 永不过期，但 refresh_token 30 天有效——这种反而更易忽略定期检查
日志里绝不能打 access_token 全串，最多打前 4 位 + ***，否则泄露即失守