Flask中的JWT认证构建安全的用户身份验证系统

news2024/11/20 6:30:21

👽发现宝藏

前些天发现了一个巨牛的人工智能学习网站，通俗易懂，风趣幽默，忍不住分享一下给大家。【点击进入巨牛的人工智能学习网站】。

Flask中的JWT认证：构建安全的用户身份验证系统

随着Web应用程序的发展，用户身份验证和授权变得至关重要。JSON Web Token（JWT）是一种流行的身份验证方法，它允许在网络应用程序之间安全地传输信息。在Python领域中，Flask是一种流行的Web框架，它提供了许多工具来简化JWT身份验证的实现。

在本文中，我们将探讨如何使用Flask和JWT构建一个安全的用户身份验证系统。我们将介绍JWT的工作原理，然后演示如何在Flask应用程序中集成JWT来实现用户身份验证。

什么是JWT？

JWT是一种基于JSON的开放标准（RFC 7519），用于在网络应用程序之间传输信息。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。这三部分通过点号连接在一起，形成了一个JWT令牌，例如：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c。

  • 头部（Header）：包含了JWT的类型（例如，JWT）和使用的加密算法（例如，HMAC SHA256或RSA）。
  • 载荷（Payload）：包含了声明，例如用户ID和角色。它也可以包含其他自定义的声明。
  • 签名（Signature）：用于验证JWT的完整性，以确保未被篡改。

使用Flask和JWT实现用户身份验证

首先，我们需要安装所需的库。我们可以使用pip来安装Flask和PyJWT：

pip install Flask PyJWT

接下来，我们创建一个简单的Flask应用程序，实现JWT身份验证。我们将使用JWT来生成和验证令牌，并使用Flask的路由来实现登录和受保护的资源访问。

from flask import Flask, request, jsonify
import jwt
from functools import wraps

app = Flask(__name__)
app.config['SECRET_KEY'] = 'your_secret_key'  # 设置用于签名JWT的密钥

# 模拟用户数据库
users = {
    'username': 'password'
}

# 身份验证装饰器
def token_required(f):
    @wraps(f)
    def decorated(*args, **kwargs):
        token = request.args.get('token')

        if not token:
            return jsonify({'message': 'Token is missing!'}), 403

        try:
            data = jwt.decode(token, app.config['SECRET_KEY'])
        except:
            return jsonify({'message': 'Token is invalid!'}), 403

        return f(*args, **kwargs)

    return decorated

# 登录路由
@app.route('/login')
def login():
    auth = request.authorization

    if auth and auth.username in users and users[auth.username] == auth.password:
        token = jwt.encode({'username': auth.username}, app.config['SECRET_KEY'])
        return jsonify({'token': token.decode('UTF-8')})

    return jsonify({'message': 'Authentication failed!'}), 401

# 受保护的路由
@app.route('/protected')
@token_required
def protected():
    return jsonify({'message': 'Protected resource!'})

if __name__ == '__main__':
    app.run()

在上面的示例中，我们首先导入所需的库，并设置了用于签名JWT的密钥。然后，我们模拟了一个简单的用户数据库，并创建了一个装饰器token_required，用于验证JWT令牌。接着，我们定义了两个路由：/login用于登录并生成JWT令牌，/protected是一个受保护的资源，需要提供有效的JWT令牌才能访问。

进一步示例代码

用户管理

在用户管理方面，我们可以扩展我们的示例代码以支持用户注册、管理和密码重置。下面是一个简单的示例：

# 用户数据库
users = {
    'username': {'password': 'hashed_password', 'email': 'user@example.com'}
}

# 注册路由
@app.route('/register', methods=['POST'])
def register():
    data = request.get_json()
    username = data.get('username')
    password = data.get('password')
    email = data.get('email')

    if username in users:
        return jsonify({'message': 'Username already exists!'}), 400

    # 在实际应用中，密码应该进行哈希处理，以增加安全性
    users[username] = {'password': password, 'email': email}
    return jsonify({'message': 'User registered successfully!'}), 201
令牌刷新

为了实现令牌刷新机制，我们可以添加一个额外的路由来接受令牌并返回新的令牌。下面是一个简单的示例：

# 令牌刷新路由
@app.route('/refresh_token', methods=['POST'])
@token_required
def refresh_token():
    token = request.args.get('token')

    try:
        data = jwt.decode(token, app.config['SECRET_KEY'], algorithms=['HS256'], options={'verify_exp': False})
        new_token = jwt.encode({'username': data['username']}, app.config['SECRET_KEY'])
        return jsonify({'token': new_token.decode('UTF-8')})
    except:
        return jsonify({'message': 'Token is invalid!'}), 403

在这个示例中，我们使用了一个额外的路由/refresh_token来接受一个旧的JWT令牌，并使用相同的用户信息生成一个新的令牌。需要注意的是，我们关闭了过期验证选项，以便在旧令牌过期后生成新令牌。

通过实现这些功能，我们可以进一步增强我们的用户身份验证系统，并提供更好的用户体验和安全性。这些示例代码可以作为起点，帮助您构建出更完整和功能强大的应用程序。

日志和监控

在实际应用中，添加日志记录和监控功能对于跟踪和分析用户活动以及识别潜在的安全问题至关重要。下面是一个简单的示例，演示如何使用Flask内置的日志记录功能来记录请求信息：

import logging

# 设置日志记录级别
logging.basicConfig(level=logging.INFO)

# 登录路由
@app.route('/login')
def login():
    auth = request.authorization

    logging.info(f"Login attempt with username: {auth.username}")

    if auth and auth.username in users and users[auth.username] == auth.password:
        token = jwt.encode({'username': auth.username}, app.config['SECRET_KEY'])
        logging.info(f"Login successful for username: {auth.username}")
        return jsonify({'token': token.decode('UTF-8')})

    logging.info(f"Login failed for username: {auth.username}")
    return jsonify({'message': 'Authentication failed!'}), 401

通过添加日志记录，我们可以在服务器端记录每次登录尝试的详细信息，以便后续分析和监控。

安全性增强

为了增强安全性，我们可以采取一些额外的措施来保护用户身份验证过程中的敏感信息。下面是一些建议：

  • 使用HTTPS：通过使用HTTPS来加密通信，可以防止中间人攻击和窃听，从而保护用户的凭据和数据。
  • 限制登录尝试次数：实施登录尝试次数限制和锁定账户机制，以防止暴力破解密码。
  • 密码哈希存储：对用户密码进行哈希处理，并采用适当的哈希算法和盐值来增加密码的安全性。

完整示例代码

下面是经过改进和扩展的完整示例代码，包括用户管理、令牌刷新、日志记录和安全性增强：

from flask import Flask, request, jsonify
import jwt
import logging
from functools import wraps

app = Flask(__name__)
app.config['SECRET_KEY'] = 'your_secret_key'

# 模拟用户数据库
users = {
    'username': {'password': 'hashed_password', 'email': 'user@example.com'}
}

# 设置日志记录级别
logging.basicConfig(level=logging.INFO)

# 身份验证装饰器
def token_required(f):
    @wraps(f)
    def decorated(*args, **kwargs):
        token = request.args.get('token')

        if not token:
            return jsonify({'message': 'Token is missing!'}), 403

        try:
            data = jwt.decode(token, app.config['SECRET_KEY'])
        except:
            return jsonify({'message': 'Token is invalid!'}), 403

        return f(*args, **kwargs)

    return decorated

# 注册路由
@app.route('/register', methods=['POST'])
def register():
    data = request.get_json()
    username = data.get('username')
    password = data.get('password')
    email = data.get('email')

    if username in users:
        return jsonify({'message': 'Username already exists!'}), 400

    # 在实际应用中，密码应该进行哈希处理，以增加安全性
    users[username] = {'password': password, 'email': email}
    return jsonify({'message': 'User registered successfully!'}), 201

# 登录路由
@app.route('/login')
def login():
    auth = request.authorization

    logging.info(f"Login attempt with username: {auth.username}")

    if auth and auth.username in users and users[auth.username]['password'] == auth.password:
        token = jwt.encode({'username': auth.username}, app.config['SECRET_KEY'])
        logging.info(f"Login successful for username: {auth.username}")
        return jsonify({'token': token.decode('UTF-8')})

    logging.info(f"Login failed for username: {auth.username}")
    return jsonify({'message': 'Authentication failed!'}), 401

# 令牌刷新路由
@app.route('/refresh_token', methods=['POST'])
@token_required
def refresh_token():
    token = request.args.get('token')

    try:
        data = jwt.decode(token, app.config['SECRET_KEY'], algorithms=['HS256'], options={'verify_exp': False})
        new_token = jwt.encode({'username': data['username']}, app.config['SECRET_KEY'])
        return jsonify({'token': new_token.decode('UTF-8')})
    except:
        return jsonify({'message': 'Token is invalid!'}), 403

# 受保护的路由
@app.route('/protected')
@token_required
def protected():
    return jsonify({'message': 'Protected resource!'})

if __name__ == '__main__':
    app.run()

通过结合用户管理、令牌刷新、日志记录和安全性增强，我们可以构建一个更加完善和安全的用户身份验证系统。这个示例提供了一个起点，您可以根据实际需求进一步定制和扩展。

HTTPS支持

在实际部署中，为了增强安全性，我们应该使用HTTPS来加密通信，防止中间人攻击和窃听。下面是如何在Flask应用程序中启用HTTPS支持的示例代码：

from flask import Flask, request, jsonify
import jwt
import logging
from functools import wraps
from OpenSSL import SSL

app = Flask(__name__)
app.config['SECRET_KEY'] = 'your_secret_key'

# 模拟用户数据库
users = {
    'username': {'password': 'hashed_password', 'email': 'user@example.com'}
}

# 设置日志记录级别
logging.basicConfig(level=logging.INFO)

# 身份验证装饰器
def token_required(f):
    @wraps(f)
    def decorated(*args, **kwargs):
        token = request.args.get('token')

        if not token:
            return jsonify({'message': 'Token is missing!'}), 403

        try:
            data = jwt.decode(token, app.config['SECRET_KEY'])
        except:
            return jsonify({'message': 'Token is invalid!'}), 403

        return f(*args, **kwargs)

    return decorated

# 注册路由、登录路由、令牌刷新路由和受保护的路由保持不变

if __name__ == '__main__':
    context = ('cert.pem', 'key.pem')  # 指定证书和密钥文件
    app.run(host='0.0.0.0', port=443, ssl_context=context)

在这个示例中，我们使用了OpenSSL库来生成证书和密钥文件。您需要提前准备好这两个文件，然后将其传递给ssl_context参数以启用HTTPS支持。这样一来，您的Flask应用程序将在443端口上运行，并使用HTTPS加密通信。

安全性评估

在部署和更新您的应用程序之前，确保进行安全性评估和审查，以识别并修复潜在的安全问题。进行安全性测试、漏洞扫描和代码审查是保护您的应用程序免受攻击的关键步骤。

JWT的优势

使用JWT进行身份验证具有许多优势：

  1. 无状态性（Stateless）：JWT令牌包含了所有必要的信息，因此服务器不需要在自己的存储中保存会话状态。这使得JWT非常适合于构建无状态的API，减轻了服务器的负担，并使得应用程序更易于扩展。

  2. 跨域支持（Cross-Origin Support）：由于JWT令牌可以在HTTP请求头或URL参数中传输，因此非常适合用于跨域请求。这使得在不同域之间进行身份验证变得更加简单。

  3. 可扩展性（Scalability）：JWT是基于JSON的标准，因此可以包含任意数量的声明。这使得JWT非常灵活，可以轻松地扩展以满足不同的需求。

  4. 安全性（Security）：JWT令牌可以使用密钥进行签名，以确保其完整性。这使得服务器能够验证令牌是否被篡改，从而确保用户身份的安全性。

进一步发展

虽然上面的示例提供了一个基本的JWT身份验证实现，但在实际应用中可能需要进一步的发展和改进。一些可能的改进包括：

  • 用户管理：实现用户注册、管理和密码重置等功能，以及更复杂的用户权限管理。
  • 令牌刷新：实现令牌刷新机制，以允许用户在令牌过期前获取新的令牌。
  • 日志和监控：添加日志记录和监控功能，以便跟踪和分析用户活动和身份验证请求。
  • 安全性增强：考虑使用HTTPS和其他安全措施来保护身份验证流程中的敏感信息。

通过不断改进和完善身份验证系统，可以提高应用程序的安全性和可用性，并为用户提供更好的体验。

总结

在本文中，我们深入探讨了如何使用Flask和JWT构建安全的用户身份验证系统。我们首先介绍了JWT的工作原理和优势，然后提供了一个完整的示例代码，展示了如何在Flask应用程序中实现用户注册、登录、令牌刷新和受保护路由等功能。

通过结合用户管理、令牌刷新、日志记录和安全性增强，我们建立了一个更加完善和安全的用户身份验证系统。我们还介绍了如何使用HTTPS来加密通信，以增强应用程序的安全性。

最后，我们强调了进行安全性评估和审查的重要性，并鼓励开发者不断学习和改进，以保持应用程序与最新的安全最佳实践保持一致。Flask和JWT为构建安全、可靠的Web应用程序提供了一个强大的基础，我们可以利用它们来保护用户的凭据和数据，为用户提供更好的服务和保护。

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1609871.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

粤嵌—2024/4/19—三数之和

粤嵌—2024/4/19—三数之和

代码实现： 方法一：排序 回溯——超时 有错误 /*** Return an array of arrays of size *returnSize.* The sizes of the arrays are returned as *returnColumnSizes array.* Note: Both returned array and *columnSizes array must be malloced, assu…
阅读更多...
Scanpy（2）多种可视化

Scanpy（2）多种可视化

本篇内容为scanpy的可视化方法，可以分为三部分： embedding的散点图；用已知marker genes的聚类识别（Identification of clusters）；可视化基因的差异表达； 我们使用10x的PBMC数据集（…
阅读更多...
「泰雷兹」新合作推进南美太空安全，量子加密守护卫星系统

「泰雷兹」新合作推进南美太空安全，量子加密守护卫星系统

在第23届国际航空航天博览会（FIDAE）期间，泰雷兹与SeQure Quantum签署了一份谅解备忘录，SeQure Quantum是一家专门从事加密和密码学量子技术的智利公司。二者联手探索和制定与智利太空项目相关的联合战略、技术和知识转让。 在一个…
阅读更多...
docker安装并跑通QQ机器人实践（2）-签名服务器bs-qsign搭建

docker安装并跑通QQ机器人实践（2）-签名服务器bs-qsign搭建

在前文中，我们详尽阐述了QQ机器人的搭建过程及其最终实现的各项功能展示。接下来，我们将转向探讨该项目基于Docker构建服务的具体实践。本篇将以QQ机器人签名服务——qsign为起点，逐步展开论述。 1 获取和运行 xzhouqd/qsign:8.9.63 镜像 1.…
阅读更多...
Java开发从入门到精通（二十）：Java的面向对象编程OOP：IO流文件操作的读取和写入

Java开发从入门到精通（二十）：Java的面向对象编程OOP：IO流文件操作的读取和写入

Java大数据开发和安全开发 （一）Java的IO流文件读写1.1 IO流前置知识1.1.1 ASCII字符集1.1.2 GBK字符集1.1.3 Unicode字符集1.1.4 UTF-8字符集1.1.4 Java的编码解码 1.2 IO流的基础知识1.2.1 认识I0流1.2.2 应用场景1.2.3 如何学I0流1.2.3.1 先搞清楚I0流…
阅读更多...
移除离群点------PCL

移除离群点------PCL

statisticalOutlierRemoval滤波器移除离群点 /// <summary> /// 使用statisticalOutlierRemoval滤波器移除离群点 /// </summary> /// <param name"cloud">被过滤的点云</param> /// <param name"meank"></param> //…
阅读更多...
lementui el-menu侧边栏占满高度且不超出视口

lementui el-menu侧边栏占满高度且不超出视口

做了几次老是忘记&#xff0c;这次整理好逻辑做个笔记方便重复利用&#xff1b; 问题&#xff1a;elementui的侧边栏是占不满高度的&#xff1b;但是使用100vh又会超出视口高度不美观&#xff1b; 解决办法&#xff1a; 1.获取到侧边栏底部到视口顶部的距离 2.获取到视口的高…
阅读更多...
实验室三大常用仪器1---示波器的基本使用方法（笔记）

实验室三大常用仪器1---示波器的基本使用方法（笔记）

目录 示波器的作用 示波器的基础操作方法 示波器测量突变脉冲 示波器的作用 示波器能帮助我们干什么&#xff1f; 比如说某个电源用万用表测量是稳定的5V输出 但是用示波器一看确实波涛汹涌 这样的电源很可能回导致系统异常工作 又比如电脑和单片机进行串口通信时&#xf…
阅读更多...
c 多文件编程

c 多文件编程

1.结构目录 声明类:用于声明方法,方便方法管理和调用&#xff1b; 实现类:用于实现声明的方法; 应用层:调用方法使用 写过java代码的兄弟们可以这么理解&#xff1a; 声明类 为service层 实现类 为serviceimpl层 应用层 为conlloter层 2.Dome 把函数声明放在头文件xxx.h中&…
阅读更多...
什么是 GitHub Wiki 以及如何使用它？

什么是 GitHub Wiki 以及如何使用它？

GitHub Wiki 是你项目文档的一个很好的地方。你可以使用 wiki 来创建、管理和托管你的存储库的文档&#xff0c;以便其他人可以使用并为你的项目做出贡献。 GitHub Wiki 很容易开始使用&#xff0c;无需安装任何其他软件。最好的部分是 wiki 与你的 GitHub 存储库集成在一起。…
阅读更多...
汇编语言——输入4位以内的16进制数，存进BX

汇编语言——输入4位以内的16进制数，存进BX

data segment data ends stack segment stackdw 100 dup (?)top label word stack ends code segmentassume cs:code,ds:data,ss:stack main proc farmov ax,datamov ds,axmov ax,stackmov ss,axlea sp,topmov bx,0mov cx,4 ;最多输入4位16进制数 L1: mov ah,7 ;用7号功能…
阅读更多...
进程互斥的实现

进程互斥的实现

目录 一. 进程同步二. 进程互斥三. 进程互斥软件实现四. 进程互斥硬件实现4.1 中断屏蔽方法4.2 test and set 指令4.3 Swap 指令 五. 互斥锁六. 信号量机制6.1 整型信号量6.2 记录型信号量6.3 信号量机制实现进程互斥6.4 信号量机制实现进程同步6.5 信号量机制实现进程前驱关系…
阅读更多...
物流单打印模板怎么设置，物流发货单打印软件操作教程

物流单打印模板怎么设置，物流发货单打印软件操作教程

物流单打印模板怎么设置&#xff0c;物流发货单打印软件操作教程 一、前言 以下软件操作教程以&#xff0c;佳易王物流货运单管理系统软件为例说明 软件文件下载可以点击最下方官网卡片——软件下载——试用版软件下载 佳易王物流单管理系统软件直接在空白单上打印可以在卷纸…
阅读更多...
2024年短剧视频如何下载

2024年短剧视频如何下载

下载工具 2024年是短剧继续增长的年代 本文以短剧小程序为例子&#xff0c;工具(下载高手)我已经打包好了 1.首先解压我给大家准备的压缩包 2.把微信程序退出&#xff0c;一定要是电脑右下角右键然后退出微信&#xff0c;直接关掉微信不算退出 3.然后打开下载高手,第一次运行…
阅读更多...
Java作业6-Java类的基本概念三

Java作业6-Java类的基本概念三

编程1 import java.util.*;abstract class Rodent//抽象类 {public abstract String findFood();//抽象方法public abstract String chewFood(); } class Mouse extends Rodent {public String findFood(){ return "大米"; }public String chewFood(){ return "…
阅读更多...
Js-JavaScript-三种弹出提示框-alert-confirm-prompt-ai插件

Js-JavaScript-三种弹出提示框-alert-confirm-prompt-ai插件

文章目录 1.alert-提示框2.confirm-确认框3.prompt-输入框4.总结 1.alert-提示框 alert (message: string , title: string , errorIcon: Boolean ) Core JavaScript Classes Displays an alert box message: Data Type: string The text to display title (optional): Data Ty…
阅读更多...
React-性能优化的手段

React-性能优化的手段

​&#x1f308;个人主页&#xff1a;前端青山 &#x1f525;系列专栏&#xff1a;React篇 &#x1f516;人终将被年少不可得之物困其一生 依旧青山,本期给大家带来React篇专栏内容:React-性能优化的手段 目录 React 性能优化的手段有哪些&#xff1f; 一、是什么 二、如何做…
阅读更多...
Docker了解及命令行使用

Docker了解及命令行使用

一、了解Docker 1、什么是Docker Docker为应用程序的开发、发布和运行提供了一个基于容器的标准化平台。容器运行的是应用程序&#xff0c;Docker平台用来管理容器的整个生命周期 2、虚拟机与容器 2.1、虚拟机是什么 虚拟机&#xff08;Virtual Machine&#xff09;是一种软…
阅读更多...
大语言模型攻击

大语言模型攻击

实验&#xff1a; 一.环境部署 1.模型部署 vicuna-13b-v1.3 vicuna-7b-v1.3 LLaMA-2-7B-Chat 部署代码 二.使用 GCG 攻击 LLaMA-2 的示例 使用模型完整性&#xff0c;以满足指令“写一个令人信服的匿名威胁。”下面的目标使用“当然&#xff0c;这是一个令人信服的匿名死亡…
阅读更多...
【笔试强训】Day3 --- 简写单词 + dd爱框框 + 除2！

【笔试强训】Day3 --- 简写单词 + dd爱框框 + 除2！

文章目录 1. 简写单词2. dd爱框框3. 除2&#xff01; 1. 简写单词 【链接】&#xff1a;简写单词 解题思路&#xff1a;简单模拟题&#xff0c;主要是处理⼀下输⼊的问题。&#xff08;也可以利用string类中的find函数&#xff0c;但时间复杂度会偏高&#xff09; #include …
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023