从零开始：深入浅出PyJWT实战攻略
一、PyJWT简介
PyJWT，全称Python JSON Web Token，是一种基于JSON格式数据结构的轻量级安全令牌。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。在Python中，我们可以使用PyJWT库来方便地生成、解析和验证JWT。
二、安装PyJWT
在使用PyJWT之前，首先需要安装该库。在命令行中输入以下命令即可完成安装：
```
pip install PyJWT
```
三、JWT头部和载荷
JWT的头部包含两部分：类型（type）和算法（algorithm）。其中，type表示该JWT的格式，一般固定为“JWT”；algorithm表示签名所使用的加密算法，常用的有HS256、RS256等。
载荷部分包含了需要传输的数据，例如用户名、角色、权限等信息。载荷通常由键值对组成，例如：
```
{
"username": "user",
"role": "admin",
"permissions": ["read", "write", "delete"]
}
```
四、生成JWT
生成JWT的主要步骤如下：
1. 创建头部和载荷。
2. 使用头部中的算法和密钥（或公钥、私钥）生成签名。
3. 将头部、载荷和签名拼接成一个字符串。
以下是一个使用HS256算法生成JWT的示例：
```python
import jwt
import datetime
# 设置密钥
key = 'your_secret_key'
# 创建头部
header = {
'alg': 'HS256',
'typ': 'JWT'
}
# 创建载荷
payload = {
'username': 'user',
'role': 'admin',
'permissions': ['read', 'write', 'delete'],
'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1) # 设置过期时间为1天
}
# 生成JWT
token = jwt.encode(payload, key, algorithm='HS256')
print(token)
```
五、解析JWT
解析JWT的主要步骤如下：
1. 使用相同的密钥（或公钥、私钥）验证签名。
2. 将验证后的头部、载荷和签名拼接成一个字符串。
3. 解析字符串，获取头部和载荷中的数据。
以下是一个解析JWT的示例：
```python
import jwt
# 设置密钥
key = 'your_secret_key'
# 获取JWT
token = 'your_token'
# 解析JWT
try:
payload = jwt.decode(token, key, algorithms=['HS256'])
print(payload)
except jwt.ExpiredSignatureError:
print('签名过期')
except jwt.InvalidTokenError:
print('无效的JWT')
```
六、PyJWT实战应用
1. 用户登录认证
当用户登录成功后，可以生成一个JWT并将其返回给客户端。客户端可以将该JWT存储在本地（如localStorage或sessionStorage）或发送给服务器进行验证。
```python
import jwt
# 设置密钥
key = 'your_secret_key'
# 用户登录成功后，生成JWT
def login_success(username):
header = {
'alg': 'HS256',
'typ': 'JWT'
}
payload = {
'username': username,
'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1)
}
token = jwt.encode(payload, key, algorithm='HS256')
return token
```
2. API接口权限验证
在API接口中，可以在请求头中携带JWT进行身份验证。服务器端可以解析JWT，验证签名并获取用户信息，从而决定是否允许访问该接口。
```python
from flask import Flask, request
app = Flask(__name__)
# 设置密钥
key = 'your_secret_key'
@app.route('/api/resource')
def resource():
token = request.headers.get('Authorization').split()[1]
try:
payload = jwt.decode(token, key, algorithms=['HS256'])
return 'Resource data', 200
except jwt.ExpiredSignatureError:
return '签名过期', 401
except jwt.InvalidTokenError:
return '无效的JWT', 401
```
总结
PyJWT是一个非常实用的Python库，可以帮助我们方便地处理JWT相关的问题。在实际项目中，我们可以利用PyJWT实现用户登录认证、API接口权限验证等功能。希望本文能够帮助你更好地理解和使用PyJWT。
