Python下Flask怎么使用JWT实现无状态的用户Token鉴权-Python教程-PHP中文网

直接用PyJWT更可控轻量，因Flask-JWT已停更、Flask-JWT-Extended依赖重且默认行为多；真实项目通常只需签发、校验、提取payload三步，PyJWT满足核心需求且堆栈清晰。

python下flask怎么使用jwt实现无状态的用户token鉴权

为什么直接用 PyJWT 而不是 Flask-JWT 或 Flask-JWT-Extended？

Flask 本身不内置 Token 鉴权逻辑，Flask-JWT 已停止维护，Flask-JWT-Extended 功能全但依赖重、默认行为多（比如自动注入 current_user、强制用 Redis 存黑名单），容易在简单场景里绕晕。多数真实项目只需要「签发 + 校验 + 提取 payload」三步，用原生 PyJWT 更可控、更轻、出错时堆栈干净。

关键点：JWT 本质是签名字符串，Flask 只需负责解析它、验证签名和过期时间，其余（如用户查库、权限判断）应由你自己的逻辑决定，别指望框架替你做决策。

如何安全生成和返回 JWT Token？

Token 必须包含必要字段（exp、iat、sub），密钥不能硬编码或用弱随机源。生产环境必须用 secrets.token_urlsafe() 或环境变量注入的密钥。

exp 字段必须设，且建议用 datetime.utcnow() + timedelta(hours=1)，别用秒级大整数手算
不要把密码、敏感权限字段塞进 payload；只放 user_id 或 username 这类可查库的标识符
响应头设 Content-Type: application/json，Token 放 JSON body 里（如 {"token": "xxx"}），别塞 Cookie（除非明确需要 httpOnly + CSRF 防护）

示例签发代码：

import jwt
from datetime import datetime, timedelta
<p>SECRET_KEY = "your-secret-key-change-in-prod"  # 用 os.getenv("JWT_SECRET")</p><p>def create_token(user_id: int) -> str:
payload = {
"user_id": user_id,
"iat": datetime.utcnow(),
"exp": datetime.utcnow() + timedelta(hours=1),
}
return jwt.encode(payload, SECRET_KEY, algorithm="HS256")
</p>

如何在请求中解析并校验 JWT？

Token 通常从 Authorization: Bearer <token></token> 头读取。校验失败必须返回明确错误（401/403），且不暴露具体原因（比如不区分「过期」和「签名无效」，统一返回 401）。

python学习

Python 编程学习助手 skill，面向零基础用户。当用户表达以下意图时触发： - 学习 Python 基础概念（变量、数据类型、循环、函数、类等） - 请求 Python 练习题或测验 - 请求审查或调试 Python 代码 - 请求 Python 项目实战指导（爬虫、数据分析、Web 开发等入门项目） - 泛化表述如"教我 Python""我想学编程""Python 怎么写""帮我学 Python" 此 skill

下载

用 jwt.decode() 时务必传 algorithms=["HS256"]，否则可能被算法混淆攻击（CVE-2015-2951）
捕获 jwt.ExpiredSignatureError、jwt.InvalidTokenError、jwt.DecodeError 三类异常，分别处理
不要在 before_request 里无条件 decode —— 静态资源、健康检查等路径应跳过校验

示例校验逻辑（装饰器写法）：

from functools import wraps
from flask import request, jsonify
<p>def require_auth(f):
@wraps(f)
def decorated(*args, **kwargs):
auth_header = request.headers.get("Authorization")
if not auth_header or not auth_header.startswith("Bearer "):
return jsonify({"error": "Missing or invalid Authorization header"}), 401</p><pre class="brush:php;toolbar:false;">    token = auth_header[7:]
    try:
        payload = jwt.decode(token, SECRET_KEY, algorithms=["HS256"])
    except jwt.ExpiredSignatureError:
        return jsonify({"error": "Token expired"}), 401
    except jwt.InvalidTokenError:
        return jsonify({"error": "Invalid token"}), 401

    request.current_user_id = payload["user_id"]
    return f(*args, **kwargs)
return decorated

为什么不能把 JWT 当 Session 用？

JWT 是无状态的，但「无状态」不等于「不可撤销」。一旦签发，服务端无法单方面作废它，直到过期。这意味着：密码改了、账号禁用、权限变更后，旧 Token 依然有效——这是常见线上事故源头。

解决思路只有两个：

缩短 exp 时间（如 15 分钟），配合前端自动刷新机制（用 Refresh Token 换新 Access Token）
加一层轻量缓存校验：例如用 Redis 存 user_id: last_password_change_timestamp，每次 decode 后比对 payload 中的 iap（上次登录时间戳）是否早于该值

别试图在数据库里存所有已发 Token —— 违背无状态初衷，还拖慢鉴权速度。真正要防的是「被盗 Token 持续使用」，不是「正常用户登出」。