使用python实现后台系统的JWT认证

介绍

JWT协议似乎已经应用十分广泛，JSON Web Token——一种基于token的json格式web认证方法。基本的原理是，第一次认证通过用户名密码，服务端签发一个json格式的token。后续客户端的请求都携带这个token，服务端仅需要解析这个token，来判别客户端的身份和合法性。JWT协议仅仅规定了这个协议的格式，主要分为三部分：

1.header头部：

声明类型，这里是jwt

声明加密的算法通常直接使用 HMAC SHA256，再将其进行base64编码

{

'typ': 'JWT',

'alg': 'HS256'

}

2 payload载荷：

payload是放置实际有效使用信息的地方。JWT定义了几种内容，包括：

标准中注册的声明，如签发者，接收者，有效时间（exp），时间戳（iat,issued at）等；为官方建议但非必须

{

'user_id': 2342,

'user_role': root,

'iat': 1577255177

}

payload中的内容是自由的，按照自己开发的需要加入。

3 signature

存储了序列化的secreate key和salt key。这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。

JWT实现

这里使用python模块itsdangerous，这个模块能做很多编码工作，其中一个是实现JWS的token序列。

genTokenSeq这个函数用于生成token。其中使用的是TimedJSONWebSignatureSerializer进行序列的生成，这里secret_key密钥、salt值是随机uuid，当然也可以自定义。expires_in是超时时间间隔，这个间隔以秒记，可以直接在这里设置

from itsdangerous import TimedJSONWebSignatureSerializer as Serializer

import time

def genTokenSeq(name, passwd, address, expires=300):

    '''

    加密数据为jwt字符串

    :param name: 用户名

    :param passwd: 用户密码

    :param address: 服务器地址

    :param expires: 过期时间，默认5分钟，单位：秒

    :return: 返回字节流字符串

    salt:随机字符串，默认不可变，更改需要与服务器沟通

    secret_key:秘钥，默认不可变，更改需要与服务器沟通

    '''

    s = Serializer(

        salt='16fcf475-5180-4916-83c1-5ff79616eaa9',

        secret_key='4180da82-0c83-4d66-ab14-e2793573ecaa',

        expires_in=expires

    )

    timestamp = time.time()

    json_str = {

         'user_name': name,

         'user_passwd': passwd,

         'user_address': address,

         'timeout': expires,

         'iat': timestamp

    }

    return s.dumps(json_str)

使用这个Serializer可以帮我们处理好header、signature的问题。我们只需要用s.dumps将payload的内容写进来。

生成的token是这样的 eyJleHAiOjE1NzM1NDkyOTgsImFsZyI6IkhTNTEyIiwiaWF0IjoxNTczNTQ4OTk4fQ.eyJ1c2VyX2FkZHJlc3MiOjEyMCwidGltZW91dCI6MzAwLCJpYXQiOjE1NzM1NDg5OTguODI2NjY4LCJ1c2VyX3Bhc3N3ZCI6Im0iLCJ1c2VyX25hbWUiOiJ4eCJ9.ixTUKxwB6TW8K2dQMBYb6hfZpIejEv45nPL5AfVSI8A91Ec76BroXgPTaAEPfxSER5PnAghWDkaCOhcqsMRMKA

这个是解码：

from itsdangerous import TimedJSONWebSignatureSerializer as Serializer

from itsdangerous import SignatureExpired, BadSignature, BadData

def tokenAuth(token):

    '''

    解码jwt数据

    :param token: jwt字符串

    :return: 返回解密后的数据

    '''

    s = Serializer(

        secret_key='4180da82-0c83-4d66-ab14-e2793573ecaa',

        salt='16fcf475-5180-4916-83c1-5ff79616eaa9')

    try:

        data = s.loads(token)

    except SignatureExpired:

        msg = 'token expired'

        return [None, msg]

    except BadSignature as e:

        encoded_payload = e.payload

        if encoded_payload is not None:

            try:

                s.load_payload(encoded_payload)

            except BadData:

                # the token is tampered.

                msg = 'token tampered'

                return [None, msg]

        msg = 'badSignature of token'

        return [None, msg]

    except:

        msg = 'wrong token with unknown reason'

        return [None, msg]

    if ('user_name' not in data) or ('user_passwd' not in data) or ('user_address' not in data):

        msg = 'illegal payload inside'

        return [None, msg]

    msg = 'user(' + data['user_name'] + ') logged in by token.'

    user_name = data['user_name']

    user_passwd = data['user_passwd']

    user_address = data['user_address']

    return [user_name, user_passwd, user_address, msg]

解析需要使用到同样的serializer，配置一样的secret key和salt，使用loads方法来解析token。itsdangerous提供了各种异常处理类，用起来也很方便：

如果是SignatureExpired，则可以直接返回过期；

如果是BadSignature,则代表了所有其他签名错误的情况，于是又分为：

能读取到payload：那么这个消息是一个内容被篡改、消息体加密过程正确的消息，secret key和salt很可能泄露了；

不能读取到payload：消息体直接被篡改，secret key和salt应该仍然安全。

检查和判定的机制如下：

1.使用加密的类，再用来解密（用上之前的密钥和盐值），得到结果存入data；

2.如果捕获到SignatureExpired异常，则代表根据token中的expired设置，token已经超时失效，返回‘token expired’；

3.如果是其他BadSignature异常，又要分为：

3.1 如果payload还完整，则解析payload，如果捕获BadData异常，则代表token已经被篡改，返回‘token tampered’；

3.2 如果payload不完整，直接返回‘badSignature of token’；

4.如果以上异常都不对，那只能返回未知异常‘wrong token with unknown reason’；

5.最后，如果data能正常解析，则将payload中的数据取出来，验证payload中是否有合法信息，如果数据不合法，则返回‘illegal payload inside’。一旦出现这种情况，则代表密钥和盐值泄露的可能性很大。

巴特西

使用python实现后台系统的JWT认证

介绍

JWT实现

最新文章

热门文章