本文介绍一种基于 jwt（json web token）的双模授权机制，使应用启动器既能在线验证用户权限，也能在无网络时通过本地签名和时效性校验确保安全性，兼顾安全性与离线可用性。
本文介绍一种基于 jwt（json web token）的双模授权机制，使应用启动器既能在线验证用户权限，也能在无网络时通过本地签名和时效性校验确保安全性，兼顾安全性与离线可用性。
在构建受控应用启动器（Launcher）时，核心挑战在于：既要防止未授权用户直接运行目标应用，又要支持离线场景下的可信验证。单纯依赖服务端数据库查询（如 Flask + SocketIO 实时鉴权）无法满足离线需求；而将私钥硬编码或明文存储于 Electron 客户端，则极易被逆向、篡改或替换，丧失安全基础。
推荐采用 JWT 双阶段验证策略，兼顾安全性、可审计性与离线能力：
✅ 服务端签发（Flask）
使用 PyJWT 与强密钥（如 HS256 配合 32 字节随机 secret 或 RS256 配合私钥）签发令牌，包含以下关键声明（claims）：
- sub: 用户唯一标识（如 user_id）
- exp: 过期时间（建议设为 7–30 天，平衡安全与体验）
- jti: 唯一令牌 ID（用于服务端黑名单撤销）
- apps: 授权应用列表（如 ["editor", "calculator"]）
- iss: 发行方（如 "auth-server"）
示例 Flask 签发代码：
import jwt
from datetime import datetime, timedelta
SECRET_KEY = "your-super-secret-key-change-in-production"
def generate_token(user_id, authorized_apps):
payload = {
"sub": user_id,
"apps": authorized_apps,
"exp": datetime.utcnow() + timedelta(days=14),
"jti": str(uuid.uuid4()),
"iss": "launcher-auth"
}
return jwt.encode(payload, SECRET_KEY, algorithm="HS256")
✅ 客户端校验（Electron + JavaScript）
Launcher 启动时读取本地存储的 JWT（如 localStorage 或加密文件），执行两级校验：
-
离线基础校验（必做）：
- 验证 exp 是否未过期（Date.now()
- 校验 jti 是否在本地已知有效列表中（避免重放）
- 检查 apps 数组是否包含待启动应用名
-
在线增强校验（联网时自动触发）：
- 使用 jwt.verify()（Node.js 端）或 jose 库（渲染进程）验证签名完整性
- 向 Flask 后端发起轻量 /api/token/validate 请求，校验 jti 是否未被吊销（服务端维护 Redis 黑名单）
Electron 主进程校验示例（Node.js 环境）：
const jwt = require('jsonwebtoken');
function validateToken(token, appName) {
try {
const decoded = jwt.verify(token, process.env.JWT_SECRET);
if (!decoded.apps?.includes(appName)) throw new Error('App not authorized');
if (Date.now() >= decoded.exp * 1000) throw new Error('Token expired');
return { valid: true, user: decoded.sub };
} catch (err) {
console.error('Token validation failed:', err.message);
return { valid: false, reason: err.message };
}
}
⚠️ 关键注意事项
- 绝不存储 secret 或私钥于前端：JWT 验证密钥仅用于服务端签发；客户端只负责校验（HS256 下需安全传输公钥或共享密钥——但更推荐服务端验证后返回结果，客户端仅接收布尔响应）。
-
令牌生命周期管理：设置合理 exp，结合服务端黑名单（如 Redis SET revoked_jti
）实现主动吊销。 - 客户端防护增强：Electron 中启用 contextIsolation: true、禁用 nodeIntegration（除非必要），JWT 存储于 sessionStorage 或加密的 electron-store，避免被 DevTools 轻易提取。
- 离线降级策略：若本地令牌过期且无网，应阻止启动并提示“请联网更新权限”，而非降级为无验证模式。
该方案规避了私钥本地存储的风险，利用 JWT 的自包含性与标准签名机制，在离线时依赖时间戳+白名单实现可信裁决，在线时叠加服务端签名与状态校验，形成纵深防御。相比 socket 实时握手或硬编码密钥，它更符合现代身份认证最佳实践，且易于扩展（如集成 OAuth2、添加设备指纹等）。
