Flask中的JWT认证构建安全的用户身份验证系统

news/2024/5/18 22:39:46

👽发现宝藏

前些天发现了一个巨牛的人工智能学习网站，通俗易懂，风趣幽默，忍不住分享一下给大家。【点击进入巨牛的人工智能学习网站】。

Flask中的JWT认证：构建安全的用户身份验证系统

随着Web应用程序的发展，用户身份验证和授权变得至关重要。JSON Web Token（JWT）是一种流行的身份验证方法，它允许在网络应用程序之间安全地传输信息。在Python领域中，Flask是一种流行的Web框架，它提供了许多工具来简化JWT身份验证的实现。

在本文中，我们将探讨如何使用Flask和JWT构建一个安全的用户身份验证系统。我们将介绍JWT的工作原理，然后演示如何在Flask应用程序中集成JWT来实现用户身份验证。

什么是JWT？

JWT是一种基于JSON的开放标准（RFC 7519），用于在网络应用程序之间传输信息。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。这三部分通过点号连接在一起，形成了一个JWT令牌，例如：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c。

  • 头部（Header）：包含了JWT的类型（例如，JWT）和使用的加密算法（例如，HMAC SHA256或RSA）。
  • 载荷（Payload）：包含了声明，例如用户ID和角色。它也可以包含其他自定义的声明。
  • 签名（Signature）：用于验证JWT的完整性，以确保未被篡改。

使用Flask和JWT实现用户身份验证

首先，我们需要安装所需的库。我们可以使用pip来安装Flask和PyJWT：

pip install Flask PyJWT

接下来，我们创建一个简单的Flask应用程序，实现JWT身份验证。我们将使用JWT来生成和验证令牌，并使用Flask的路由来实现登录和受保护的资源访问。

from flask import Flask, request, jsonify
import jwt
from functools import wrapsapp = Flask(__name__)
app.config['SECRET_KEY'] = 'your_secret_key'  # 设置用于签名JWT的密钥# 模拟用户数据库
users = {'username': 'password'
}# 身份验证装饰器
def token_required(f):@wraps(f)def decorated(*args, **kwargs):token = request.args.get('token')if not token:return jsonify({'message': 'Token is missing!'}), 403try:data = jwt.decode(token, app.config['SECRET_KEY'])except:return jsonify({'message': 'Token is invalid!'}), 403return f(*args, **kwargs)return decorated# 登录路由
@app.route('/login')
def login():auth = request.authorizationif auth and auth.username in users and users[auth.username] == auth.password:token = jwt.encode({'username': auth.username}, app.config['SECRET_KEY'])return jsonify({'token': token.decode('UTF-8')})return jsonify({'message': 'Authentication failed!'}), 401# 受保护的路由
@app.route('/protected')
@token_required
def protected():return jsonify({'message': 'Protected resource!'})if __name__ == '__main__':app.run()

在上面的示例中，我们首先导入所需的库，并设置了用于签名JWT的密钥。然后，我们模拟了一个简单的用户数据库，并创建了一个装饰器token_required，用于验证JWT令牌。接着，我们定义了两个路由：/login用于登录并生成JWT令牌，/protected是一个受保护的资源，需要提供有效的JWT令牌才能访问。

进一步示例代码

用户管理

在用户管理方面，我们可以扩展我们的示例代码以支持用户注册、管理和密码重置。下面是一个简单的示例：

# 用户数据库
users = {'username': {'password': 'hashed_password', 'email': 'user@example.com'}
}# 注册路由
@app.route('/register', methods=['POST'])
def register():data = request.get_json()username = data.get('username')password = data.get('password')email = data.get('email')if username in users:return jsonify({'message': 'Username already exists!'}), 400# 在实际应用中，密码应该进行哈希处理，以增加安全性users[username] = {'password': password, 'email': email}return jsonify({'message': 'User registered successfully!'}), 201
令牌刷新

为了实现令牌刷新机制，我们可以添加一个额外的路由来接受令牌并返回新的令牌。下面是一个简单的示例：

# 令牌刷新路由
@app.route('/refresh_token', methods=['POST'])
@token_required
def refresh_token():token = request.args.get('token')try:data = jwt.decode(token, app.config['SECRET_KEY'], algorithms=['HS256'], options={'verify_exp': False})new_token = jwt.encode({'username': data['username']}, app.config['SECRET_KEY'])return jsonify({'token': new_token.decode('UTF-8')})except:return jsonify({'message': 'Token is invalid!'}), 403

在这个示例中，我们使用了一个额外的路由/refresh_token来接受一个旧的JWT令牌，并使用相同的用户信息生成一个新的令牌。需要注意的是，我们关闭了过期验证选项，以便在旧令牌过期后生成新令牌。

通过实现这些功能，我们可以进一步增强我们的用户身份验证系统，并提供更好的用户体验和安全性。这些示例代码可以作为起点，帮助您构建出更完整和功能强大的应用程序。

日志和监控

在实际应用中，添加日志记录和监控功能对于跟踪和分析用户活动以及识别潜在的安全问题至关重要。下面是一个简单的示例，演示如何使用Flask内置的日志记录功能来记录请求信息：

import logging# 设置日志记录级别
logging.basicConfig(level=logging.INFO)# 登录路由
@app.route('/login')
def login():auth = request.authorizationlogging.info(f"Login attempt with username: {auth.username}")if auth and auth.username in users and users[auth.username] == auth.password:token = jwt.encode({'username': auth.username}, app.config['SECRET_KEY'])logging.info(f"Login successful for username: {auth.username}")return jsonify({'token': token.decode('UTF-8')})logging.info(f"Login failed for username: {auth.username}")return jsonify({'message': 'Authentication failed!'}), 401

通过添加日志记录，我们可以在服务器端记录每次登录尝试的详细信息，以便后续分析和监控。

安全性增强

为了增强安全性，我们可以采取一些额外的措施来保护用户身份验证过程中的敏感信息。下面是一些建议：

  • 使用HTTPS：通过使用HTTPS来加密通信，可以防止中间人攻击和窃听，从而保护用户的凭据和数据。
  • 限制登录尝试次数：实施登录尝试次数限制和锁定账户机制，以防止暴力破解密码。
  • 密码哈希存储：对用户密码进行哈希处理，并采用适当的哈希算法和盐值来增加密码的安全性。

完整示例代码

下面是经过改进和扩展的完整示例代码，包括用户管理、令牌刷新、日志记录和安全性增强：

from flask import Flask, request, jsonify
import jwt
import logging
from functools import wrapsapp = Flask(__name__)
app.config['SECRET_KEY'] = 'your_secret_key'# 模拟用户数据库
users = {'username': {'password': 'hashed_password', 'email': 'user@example.com'}
}# 设置日志记录级别
logging.basicConfig(level=logging.INFO)# 身份验证装饰器
def token_required(f):@wraps(f)def decorated(*args, **kwargs):token = request.args.get('token')if not token:return jsonify({'message': 'Token is missing!'}), 403try:data = jwt.decode(token, app.config['SECRET_KEY'])except:return jsonify({'message': 'Token is invalid!'}), 403return f(*args, **kwargs)return decorated# 注册路由
@app.route('/register', methods=['POST'])
def register():data = request.get_json()username = data.get('username')password = data.get('password')email = data.get('email')if username in users:return jsonify({'message': 'Username already exists!'}), 400# 在实际应用中，密码应该进行哈希处理，以增加安全性users[username] = {'password': password, 'email': email}return jsonify({'message': 'User registered successfully!'}), 201# 登录路由
@app.route('/login')
def login():auth = request.authorizationlogging.info(f"Login attempt with username: {auth.username}")if auth and auth.username in users and users[auth.username]['password'] == auth.password:token = jwt.encode({'username': auth.username}, app.config['SECRET_KEY'])logging.info(f"Login successful for username: {auth.username}")return jsonify({'token': token.decode('UTF-8')})logging.info(f"Login failed for username: {auth.username}")return jsonify({'message': 'Authentication failed!'}), 401# 令牌刷新路由
@app.route('/refresh_token', methods=['POST'])
@token_required
def refresh_token():token = request.args.get('token')try:data = jwt.decode(token, app.config['SECRET_KEY'], algorithms=['HS256'], options={'verify_exp': False})new_token = jwt.encode({'username': data['username']}, app.config['SECRET_KEY'])return jsonify({'token': new_token.decode('UTF-8')})except:return jsonify({'message': 'Token is invalid!'}), 403# 受保护的路由
@app.route('/protected')
@token_required
def protected():return jsonify({'message': 'Protected resource!'})if __name__ == '__main__':app.run()

通过结合用户管理、令牌刷新、日志记录和安全性增强，我们可以构建一个更加完善和安全的用户身份验证系统。这个示例提供了一个起点，您可以根据实际需求进一步定制和扩展。

HTTPS支持

在实际部署中，为了增强安全性，我们应该使用HTTPS来加密通信，防止中间人攻击和窃听。下面是如何在Flask应用程序中启用HTTPS支持的示例代码：

from flask import Flask, request, jsonify
import jwt
import logging
from functools import wraps
from OpenSSL import SSLapp = Flask(__name__)
app.config['SECRET_KEY'] = 'your_secret_key'# 模拟用户数据库
users = {'username': {'password': 'hashed_password', 'email': 'user@example.com'}
}# 设置日志记录级别
logging.basicConfig(level=logging.INFO)# 身份验证装饰器
def token_required(f):@wraps(f)def decorated(*args, **kwargs):token = request.args.get('token')if not token:return jsonify({'message': 'Token is missing!'}), 403try:data = jwt.decode(token, app.config['SECRET_KEY'])except:return jsonify({'message': 'Token is invalid!'}), 403return f(*args, **kwargs)return decorated# 注册路由、登录路由、令牌刷新路由和受保护的路由保持不变if __name__ == '__main__':context = ('cert.pem', 'key.pem')  # 指定证书和密钥文件app.run(host='0.0.0.0', port=443, ssl_context=context)

在这个示例中，我们使用了OpenSSL库来生成证书和密钥文件。您需要提前准备好这两个文件，然后将其传递给ssl_context参数以启用HTTPS支持。这样一来，您的Flask应用程序将在443端口上运行，并使用HTTPS加密通信。

安全性评估

在部署和更新您的应用程序之前，确保进行安全性评估和审查，以识别并修复潜在的安全问题。进行安全性测试、漏洞扫描和代码审查是保护您的应用程序免受攻击的关键步骤。

JWT的优势

使用JWT进行身份验证具有许多优势：

  1. 无状态性（Stateless）：JWT令牌包含了所有必要的信息，因此服务器不需要在自己的存储中保存会话状态。这使得JWT非常适合于构建无状态的API，减轻了服务器的负担，并使得应用程序更易于扩展。

  2. 跨域支持（Cross-Origin Support）：由于JWT令牌可以在HTTP请求头或URL参数中传输，因此非常适合用于跨域请求。这使得在不同域之间进行身份验证变得更加简单。

  3. 可扩展性（Scalability）：JWT是基于JSON的标准，因此可以包含任意数量的声明。这使得JWT非常灵活，可以轻松地扩展以满足不同的需求。

  4. 安全性（Security）：JWT令牌可以使用密钥进行签名，以确保其完整性。这使得服务器能够验证令牌是否被篡改，从而确保用户身份的安全性。

进一步发展

虽然上面的示例提供了一个基本的JWT身份验证实现，但在实际应用中可能需要进一步的发展和改进。一些可能的改进包括：

  • 用户管理：实现用户注册、管理和密码重置等功能，以及更复杂的用户权限管理。
  • 令牌刷新：实现令牌刷新机制，以允许用户在令牌过期前获取新的令牌。
  • 日志和监控：添加日志记录和监控功能，以便跟踪和分析用户活动和身份验证请求。
  • 安全性增强：考虑使用HTTPS和其他安全措施来保护身份验证流程中的敏感信息。

通过不断改进和完善身份验证系统，可以提高应用程序的安全性和可用性，并为用户提供更好的体验。

总结

在本文中，我们深入探讨了如何使用Flask和JWT构建安全的用户身份验证系统。我们首先介绍了JWT的工作原理和优势，然后提供了一个完整的示例代码，展示了如何在Flask应用程序中实现用户注册、登录、令牌刷新和受保护路由等功能。

通过结合用户管理、令牌刷新、日志记录和安全性增强，我们建立了一个更加完善和安全的用户身份验证系统。我们还介绍了如何使用HTTPS来加密通信，以增强应用程序的安全性。

最后，我们强调了进行安全性评估和审查的重要性，并鼓励开发者不断学习和改进，以保持应用程序与最新的安全最佳实践保持一致。Flask和JWT为构建安全、可靠的Web应用程序提供了一个强大的基础，我们可以利用它们来保护用户的凭据和数据，为用户提供更好的服务和保护。

在这里插入图片描述


http://www.mrgr.cn/p/53054380

相关文章

17.Nacos与Eureka区别

17.Nacos与Eureka区别

Nacos会将服务的提供者分为临时实例和非临时实例。默认为临时实例。 临时实例跟eureka一样，会向注册中心报告心跳监测自己是否还活着。如果不正常了nacos会剔除临时实例。（捡来的孩子） 非临时实例，nacos会主动询问服务提供者是否…
阅读更多...
搜维尔科技：【工业仿真】煤矿机械安全事故VR警示教育系统

搜维尔科技：【工业仿真】煤矿机械安全事故VR警示教育系统

产品概述 搜维尔科技 煤矿机械安全事故VR警示教育系统 系统内容： 系统采用虚拟现实技术模拟矿井井下机械安全技术及事故，展现井下常见机械伤害事故，表现伤害事故的隐患点，能够模拟事故发生和发展过程；营造井下灾害发…
阅读更多...
JVM虚拟机监控及性能调优实战

JVM虚拟机监控及性能调优实战

目录 jvisualvm介绍 1. jvisualvm是JDK自带的可以远程监控内存，跟踪垃圾回收，执行时内存，CPU/线程分析，生成堆快照等的工具。 2. jvisualvm是从JDK1.6开始被继承到JDK中的。jvisualvm使用 jvisualvm监控远程服务器 开启远程监控…
阅读更多...
初入数据库

初入数据库

SQL：操作关系型数据库的编程语言，定义了一套操作关系型数据库的统一标准。 DDL（Data Definition Language）数据定义语言 数据库 show databases;create database db01;use db01;select database(); 显示当前使用的数据库drop d…
阅读更多...
05、应急事件检测

05、应急事件检测

应急事件检测 1.Windows 系统 1.1.Windows 系统用户账号收集 查找本地用户和组：lusrmgr.msc 查找用户：net user 查找本地管理员组用户：net localgroup administrators 使用 powershell 查找用户：Get-LocalUser 1.2.Windows 系统进程信息收集 任务管理器（Ctrl+Shift+Esc）（…
阅读更多...
SEGGER Embedded Studio IDE移植FreeRTOS

SEGGER Embedded Studio IDE移植FreeRTOS

SEGGER Embedded Studio IDE移植FreeRTOS 一、简介二、技术路线2.1 获取FreeRTOS源码2.2 将必要的文件复制到工程中2.2.1 移植C文件2.2.2 移植portable文件2.2.3 移植头文件 2.3 创建FreeRTOSConfig.h并进行配置2.3.1 处理中断优先级2.3.2 configASSERT( x )的处理2.3.3 关于系…
阅读更多...
mybatis中＜if＞条件判断带数字的字符串失效问题

mybatis中＜if＞条件判断带数字的字符串失效问题

文章目录 一、项目背景二、真实错误原因说明三、解决方案3.1针对纯数字的字符串值场景3.2针对单个字符的字符串值场景 四、参考文献 一、项目背景 MySQL数据库使用Mybatis查询拼接select语句中进行<if>条件拼接的时候&#xff0c;发现带数字的或者带单个字母的字符串失效…
阅读更多...
md5绕过

md5绕过

md5绕过 ($a != $b && md5($a) == md5($b))的绕过 传参a=s1885207154a，b=s1836677006aMD5值：md5("s1885207154a") => 0e509367213418206700842008763514md5("s1836677006a") => 0e481036490867661113260034900752在PHP中 0e开头表示为科学…
阅读更多...
Hadoop——Yarn基础架构

Hadoop——Yarn基础架构

Hadoop——Yarn基础架构 Hadoop YARN&#xff08;Yet Another Resource Negotiator&#xff09;是Apache Hadoop生态系统中的一个子项目&#xff0c;它是用于集群资源管理的框架&#xff0c;负责为运算程序提供服务器运算资源&#xff0c;相当于一个分布式的操作系统平台&…
阅读更多...
js的算法-交换排序（冒泡）

js的算法-交换排序（冒泡）

交换排序 所谓交换排序&#xff0c;是指根据序列中两个元素关键字的比较结果来对换这两个记录在序列中的位置。基于交换的排序算法很多&#xff0c;本次介绍冒泡排序和快速排序。 冒泡 基本思想 从后往前&#xff08;或从前往后&#xff09;两两比较相邻元素的值&#xff0…
阅读更多...
01_Linux最简单驱动-helloworld

01_Linux最简单驱动-helloworld

Linux最简单驱动-helloworld 驱动分为四个部分： ​ 头文件 ​ 驱动模块的入口和出口 ​ 声明信息 ​ 功能实现 第一步，包含头文件 #include <linux/init.h> 包含宏定义的头文件 #include <linux/module.h> 包含初始化加载模块的头文件 第二步，驱动模块的入口和出…
阅读更多...
《QT实用小工具·四十二》圆形发光图像

《QT实用小工具·四十二》圆形发光图像

1、概述 源码放在文章末尾 该项目实现了图像的发光效果&#xff0c;特别适合做头像&#xff0c;项目demo演示如下所示&#xff1a; 项目部分代码如下所示&#xff1a; import QtQuick 2.7 import QtGraphicalEffects 1.12Item {id: rootwidth: 80height: 80property int ra…
阅读更多...
Grid 布局

Grid 布局

文章目录 容器属性display 属性grid-template-columns 和 grid-template-rows 属性row-gap、column-gap、gap 属性grid-template-areas 属性grid-auto-flow 属性justify-items、align-items、place-items 属性justify-content、align-content、place-content 属性grid-auto-col…
阅读更多...
KNN算法思想与Python实现

KNN算法思想与Python实现

古语说得好，物以类聚，人以群分；近朱者赤，近墨者黑。这两句话的大概意思就是，你周围大部分朋友是什么人，那么你大概率也就是这种人，这句话其实也就是K最近邻算法的核心思想。kNN（k- Nearest Neighbor）法即k最邻近法，最初由 Cover和Hart于1968年提出，是一个理论上比较…
阅读更多...
数据结构练习-算法与时间复杂度

数据结构练习-算法与时间复杂度

----------------------------------------------------------------------------------------------------------------------------- 1. 设n是描述问题规模的非负整数&#xff0c;下列程序段的时间复杂度是( )。 x0;while(n>(x1)*(x1)xx1; A.O(logn) B.O(n^(1/2)) C.O(n)…
阅读更多...
递归神经网络（RNN）在AI去衣技术中的深度应用

递归神经网络（RNN）在AI去衣技术中的深度应用

在人工智能&#xff08;AI&#xff09;技术飞速发展的今天&#xff0c;图像处理和计算机视觉领域不断取得新的突破。其中&#xff0c;AI去衣技术作为一个具有挑战性的研究方向&#xff0c;引起了广大研究者和公众的关注。递归神经网络&#xff08;RNN&#xff09;作为深度学习的…
阅读更多...
HarmonyOS 应用生命周期有哪些？ 按返回键会调用哪些生命周期？

HarmonyOS 应用生命周期有哪些？ 按返回键会调用哪些生命周期？

UIAbility 生命周期：onCreate :页面初始化，变量定义，资源加载。 onWindowStageCreate：设置 UI 界面加载、设置 WindowStage 的事件订阅。 onForeground：切换至前台，申请系统需要的资源，或者重新申请在 onBackground（）中释放的资源。 onBackground：切换至后台，释放 U…
阅读更多...
（007）Blender 根据顶点组分离模型

（007）Blender 根据顶点组分离模型

1.选中模型&#xff0c;并且进入【3D视图】【编辑模式】&#xff1a; 2.选择顶点组&#xff1a; 3.分离选中项&#xff1a;
阅读更多...
DRF之过滤 排序 分页

DRF之过滤 排序 分页

DRF之过滤 排序 分页使用【过滤 排序 分页】都需要在继承了GenericAPIView的视图类下使用 并指定类属性【queryset 和 serializer_class】【一】过滤 # 所有过滤类都继承 【BaseFilterBackend】 from rest_framework.filters import BaseFilterBackend【1】drf自带的过滤 # 导入…
阅读更多...
图文结合手把手教你创建SpringCloud项目

图文结合手把手教你创建SpringCloud项目

前言 什么是SpringCloud？ Spring Cloud 是一系列框架的有序集合，它利用 Spring Boot 的开发便利性简化了分布式系统的开发，比如服务注册、服务发现、网关、路由、链路追踪等。Spring Cloud 并不是重复造轮子，而是将市面上开发得比较好的模块集成进去，进行封装，从而减少了…
阅读更多...
推荐文章

Copyright @ 2022~2023