1、jwt认证流程

传统token方式和jwt认证方式有什么差异？

传统token方式

用户登录成功后，服务端生成一个随机的token给用户，并且在服务端（数据库或缓存）中保存一份token，以后用户再来访问时需要携带token，服务端接收到token之后，去数据库或缓存中进行校验token的是否超时、是否合法

jwt方式

用户登录成功后，服务端通过jwt生成一个随机token给用户（服务端无需保留token），以后用户再来访问时需要携带token，服务端接收到token之后，通过jwt对token进行教研是否超时、是否合法。

2、jwt创建token

在加密的数据中
如果  包含exp=过期时间，则会在一段时间内 token有效

否则一值有效

2.1、原理

jwt的生成token格式如下，即：由。连接的三段字符组成

eyJ0eXAiOiJqd3QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6InBpZyIsImV4cCI6MTU3NDE0NjIzM30.gD9a3N83BoYVz1v7BaKW8V9ORUDPudB3ogJ_rhlZsTU

生成规则如下：

第一段HEADER部分，固定包含算法和token类型，对此json进行base64url加密，这就是token的第一段

{

"alg": "HS256",

"typ": "JWT"

}

第二段PAYLOAD部分，包含一些数据，对此json进行base64url加密，这就是token的第二段。

{

"sub": "1234567890",

"name": "John Doe",

"iat": 1516239022

}

第三段SIGNATURE部分，把前两段的base秘闻通过.拼接起来，然后对其进行HS256加密，再然后对hs256秘闻进行base64url加密，最终得到token的第三段。

base64url(
    HMACHSHA256(
        base64UrlEncode(header) + '.' + base64url(payload),
        your-256-bit-secret(秘钥加盐)
    )
)

最后基于三段字符通过.拼接起来就生成了jwt的token

注意：base64url加密是先做base64加密。然后再讲-代替+以及_代替/

2.2代码实现

基于Python的pyjwt模块创建jwt的token

安装
```
pip3 install pyjwt
```

实现

import jwt
import datetime
from jwt import exceptions

SALT = 'apple'


def create_token():
# 构造header
headers = {
'typ': 'jwt',
'alg': 'HS256'
}
# 构造payload
payload = {
'user_id': 1, # 自定义用户ID
'username': 'pig',
'exp': datetime.datetime.utcnow() + datetime.timedelta(days=5)
}
result = jwt.encode(payload=payload, key=SALT, algorithm='HS256', headers=headers).decode('utf8')
return result


if __name__ == '__main__':
token = create_token()
print(token)

3、JWT校验token

jwt验证tok一般在认证成功后，把jwt生成的token返回用户，以后用户再次访问的时候需要携带token，此时jwt需要对token进行超时及合法性校验。

获取token之后会按照以下步骤进行校验：

将token分割成header_segment、payload_segment、crypto_segment三部分

Jwt_token =

“eyJ0eXAiOiJqd3QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6InBpZyIsImV4cCI6MTU3NDE0NjIzM30.gD9a3N83BoYVz1v7

BaKW8V9ORUDPudB3ogJ_rhlZsTU”

signing_input, crpyto_segment = jwt_token.rsplit(b'.',1)

header_segement, payload_segment = signing_input.split(b'.',1)

对第一部分header_segemnt 进行base64url解密，得到header
对第二部分payload_segment进行base64url解密，得到payload
对第三部分crypto_segment进行base64url解密，得到signature
对第三部分signature部分数据进行合法性校验
- 拼接前两段密文，即signing_input
- 从第一段明文中获取加密算法，默认HS256
- 使用算法+盐对signing_input 进行加密，将得到的结果和signature密文进行比较

#!/usr/bin/env python
# -*- coding:utf-8 -*-
import jwt
import datetime
from jwt import exceptions

JWT_SALT = 'iv%x6xo7l7_u9bf_u!9#g#m*)*=ej@bek5)(@u3kh*72+unjv='


def create_token(payload, timeout=20):
    """
:param payload:  例如：{'user_id':1,'username':'wupeiqi'}用户信息
:param timeout: token的过期时间，默认20分钟
:return:
    """
headers = {
        'typ': 'jwt',
'alg': 'HS256'
}
    payload['exp'] = datetime.datetime.utcnow() + datetime.timedelta(minutes=timeout)
    result = jwt.encode(payload=payload, key=JWT_SALT, algorithm="HS256", headers=headers).decode('utf-8')
    return result


def parse_payload(token):
    """
    对token进行和发行校验并获取payload
:param token:
:return:
    """
result = {'status': False, 'data': None, 'error': None}
    try:
        verified_payload = jwt.decode(token, JWT_SALT, True)
        result['status'] = True
result['data'] = verified_payload
    except exceptions.ExpiredSignatureError:
        result['error'] = 'token已失效'
except jwt.DecodeError:
        result['error'] = 'token认证失败'
except jwt.InvalidTokenError:
        result['error'] = '非法的token'
return result