python token 刷新

原创

mob64ca12f15103 2025-02-15 03:23:19 ©著作权

文章标签 访问令牌 json Python 文章分类 Python 后端开发

©著作权归作者所有：来自51CTO博客作者mob64ca12f15103的原创作品，请联系作者获取转载授权，否则将追究法律责任

使用 Python Refresh Token 机制进行身份验证

在当今的应用程序中，身份验证和授权是至关重要的，尤其是在需要安全访问的情况下。最常使用的身份验证机制之一是基于令牌的身份验证，而刷新令牌（refresh token）是其中一个关键的组成部分。本文将介绍 Python 如何实现刷新令牌以及相关代码示例。

什么是刷新令牌？

刷新令牌是一种特殊类型的令牌，通常用于延长用户会话。当用户首次登录时，系统生成一个访问令牌（access token）和一个刷新令牌。访问令牌的有效期通常较短，一旦过期，用户需要使用刷新令牌来请求新的访问令牌，而无需重新进行身份验证。

这种机制既提高了安全性，也改善了用户体验。通过刷新令牌，用户可以保持登录状态，避免频繁输入用户名和密码。

刷新令牌的工作流程

下面是刷新令牌的基本工作流程：

用户登录并获取访问令牌和刷新令牌。
使用访问令牌访问受保护资源。
当访问令牌过期时，使用刷新令牌请求新的访问令牌。
客户端收到新的访问令牌并继续访问资源。

以下是状态图，说明刷新令牌的状态变化：

stateDiagram
    [*] --> 登录
    登录 --> 获取访问令牌
    获取访问令牌 --> 使用访问令牌
    使用访问令牌 --> 过期
    过期 --> 刷新令牌
    刷新令牌 --> 获取新访问令牌
    获取新访问令牌 --> 使用访问令牌
    使用访问令牌 --> 过期

Python 示例代码

下面的代码示例讲述了如何在 Python 中实现刷新令牌的机制。我们将使用 Flask 作为后端框架，结合 PyJWT 进行 JWT 令牌的生成与验证。

1. 安装依赖

确保你已经安装了 Flask 和 PyJWT，可以通过以下命令安装：

pip install Flask PyJWT

2. 设置 Flask 应用与路由

from flask import Flask, request, jsonify
import jwt
import datetime

app = Flask(__name__)
app.secret_key = "your_secret_key"

# 模拟一个用户存储
users = {
    "user1": "password123"
}

def create_tokens(username):
    access_token = jwt.encode({
        'user': username,
        'exp': datetime.datetime.utcnow() + datetime.timedelta(minutes=15)
    }, app.secret_key)

    refresh_token = jwt.encode({
        'user': username,
        'exp': datetime.datetime.utcnow() + datetime.timedelta(days=30)
    }, app.secret_key)

    return access_token, refresh_token

@app.route('/login', methods=['POST'])
def login():
    data = request.json
    username = data.get('username')
    password = data.get('password')

    if username in users and users[username] == password:
        access_token, refresh_token = create_tokens(username)
        return jsonify({
            'access_token': access_token,
            'refresh_token': refresh_token
        })
    return jsonify({"msg": "Invalid credentials"}), 401

3. 刷新访问令牌的路由

@app.route('/refresh', methods=['POST'])
def refresh():
    data = request.json
    refresh_token = data.get('refresh_token')

    try:
        jwt.decode(refresh_token, app.secret_key, algorithms=["HS256"])
        # 如果刷新令牌有效，生成新的访问令牌
        username = jwt.decode(refresh_token, app.secret_key, algorithms=["HS256"])['user']
        new_access_token, _ = create_tokens(username)
        return jsonify({
            'access_token': new_access_token
        })
    except jwt.ExpiredSignatureError:
        return jsonify({"msg": "Refresh token expired"}), 401
    except jwt.InvalidTokenError:
        return jsonify({"msg": "Invalid refresh token"}), 401

使用场景

让我们通过一个甘特图来展示刷新令牌的处理过程：

gantt
    title 刷新令牌处理过程
    dateFormat  YYYY-MM-DD
    section 用户登录
    Login User                 :a1, 2023-10-01, 1d
    Access Resource            :a2, after a1, 2d
    section 刷新令牌
    Token Expired              :after a2, 1d
    Request Refresh Token      :a3, after a2, 1d
    Receive New Access Token   :after a3, 1d