令牌身份验证（Token-Based Authentication）的原理及使用例子

鲁鲁517

于 2024-10-14 16:03:48 发布

阅读量1.7k

点赞数 17

文章标签： github git

本文链接：https://blog.youkuaiyun.com/lunan/article/details/142921221

版权

令牌身份验证（Token-Based Authentication）原理详述

**令牌身份验证（Token-Based Authentication）**是一种无状态的身份验证机制，通过颁发、验证令牌（Token）来实现用户的认证和授权。与传统的基于会话的身份验证不同，令牌身份验证不依赖服务器存储用户会话数据，而是通过令牌传递用户的身份信息。

令牌身份验证的基本流程：

用户登录：用户向服务器提交用户名和密码进行登录请求。
服务器验证凭据：服务器验证用户提交的凭据（用户名和密码）。
生成令牌：验证通过后，服务器生成一个加密的令牌，通常使用 JSON Web Token (JWT)。
颁发令牌：服务器将令牌发送给客户端，客户端可以将令牌存储在浏览器的 localStorage 或 sessionStorage 中。
使用令牌访问受保护资源：客户端在后续请求中通过 Authorization 头部携带令牌，向服务器请求受保护的资源。
验证令牌：服务器接收到客户端请求时，会对令牌进行验证，以确定令牌的有效性和合法性。
访问资源：如果令牌有效，服务器允许访问受保护的资源；否则，拒绝请求。

令牌的特点：

无状态性：令牌是自包含的，服务器不需要存储用户的会话信息。
便携性：令牌可以跨域和跨服务器传递。
安全性：令牌通常是加密的，只有持有者和服务器可以解码。
有限生命周期：令牌通常有一个过期时间，到期后需要重新生成。

常见的令牌类型：

JWT（JSON Web Token）：最常见的令牌格式，使用 JSON 格式来封装用户身份信息，并通过数字签名保护数据的完整性。
Opaque Token（不透明令牌）：令牌是完全随机的，服务器需要存储令牌及其关联的用户信息。

JSON Web Token (JWT) 的结构：

JWT 由三部分组成，使用 . 连接：

Header（头部）：包含令牌的类型和签名算法信息。
Payload（载荷）：包含用户的身份信息和声明（Claims），如用户ID、过期时间等。
Signature（签名）：用来验证令牌的完整性，防止被篡改。

例如，JWT 的结构为：

header.payload.signature

Python 实现令牌身份验证的示例

我们可以使用 pyjwt 库生成和验证 JWT 令牌，并使用 Flask 实现一个简单的 API 服务进行令牌身份验证。

第一步：安装依赖

pip install flask pyjwt

第二步：Python3 示例代码

from flask import Flask, request, jsonify
import jwt
import datetime

app = Flask(__name__)

# 秘钥，用于加密和解密JWT
SECRET_KEY = 'your_secret_key'

# 生成JWT令牌
def generate_token(username):
    # 定义令牌的过期时间为 30 分钟
    expiration_time = datetime.datetime.utcnow() + datetime.timedelta(minutes=30)
    
    # 定义载荷（Payload）
    payload = {
        'username': username,
        'exp': expiration_time  # 设置令牌过期时间
    }
    
    # 生成JWT令牌
    token = jwt.encode(payload, SECRET_KEY, algorithm='HS256')
    return token

# 验证JWT令牌
def verify_token(token):
    try:
        # 解码并验证令牌
        decoded = jwt.decode(token, SECRET_KEY, algorithms=['HS256'])
        return decoded
    except jwt.ExpiredSignatureError:
        return None  # 令牌过期
    except jwt.InvalidTokenError:
        return None  # 令牌无效

# 模拟的登录接口
@app.route('/login', methods=['POST'])
def login():
    # 获取请求中的用户名和密码（简化，实际应用中应使用安全的密码验证方式）
    data = request.json
    username = data.get('username')
    password = data.get('password')
    
    # 简单验证用户名和密码（实际应用中应查询数据库）
    if username == 'admin' and password == 'password':
        # 生成并返回令牌
        token = generate_token(username)
        return jsonify({'token': token})
    else:
        return jsonify({'message': 'Invalid credentials'}), 401

# 受保护的资源接口，需提供JWT令牌
@app.route('/protected', methods=['GET'])
def protected():
    # 从请求头中获取令牌
    token = request.headers.get('Authorization')
    if not token:
        return jsonify({'message': 'Token is missing!'}), 403
    
    # 验证令牌
    try:
        token = token.split(" ")[1]  # 提取令牌，假设格式为 'Bearer <token>'
        decoded = verify_token(token)
        if decoded:
            return jsonify({'message': 'Access granted', 'user': decoded['username']})
        else:
            return jsonify({'message': 'Invalid or expired token'}), 403
    except IndexError:
        return jsonify({'message': 'Token format is invalid'}), 403

if __name__ == '__main__':
    app.run(debug=True)

代码解释：

JWT 生成和验证：
- generate_token(username)：根据用户名生成一个 JWT 令牌，包含用户名和过期时间。
- verify_token(token)：验证 JWT 令牌是否合法和是否过期，返回解码后的用户信息。
登录接口：
- 用户提供用户名和密码，如果验证通过，则生成并返回一个 JWT 令牌。
受保护的接口：
- 用户通过请求头部的 Authorization 字段提供 JWT 令牌。服务器验证令牌是否有效，并根据结果决定是否允许访问资源。
安全性考虑：
- JWT 的加密使用 HS256 算法和服务器秘钥 SECRET_KEY，确保令牌的安全性。
- 令牌设置了过期时间 exp，确保用户定期重新登录以获取新的令牌。

注意事项：

令牌的存储：客户端应安全地存储 JWT 令牌，可以使用 localStorage 或 sessionStorage，但要注意防范 XSS 攻击。
令牌的刷新：令牌过期后，可以使用刷新令牌（refresh token）机制，避免频繁登录。
HTTPS：在生产环境中，所有与 JWT 相关的通信都应通过 HTTPS 进行，以防止令牌被窃取。

总结

令牌身份验证是一种安全、高效的无状态身份验证方式，适合在现代 Web 应用和移动应用中使用。通过 JWT，我们可以将用户信息安全地封装在令牌中，并通过令牌实现跨服务器的身份验证。

产品简介

梧桐数据库（WuTongDB）是基于 Apache HAWQ 打造的一款分布式 OLAP 数据库。产品通过存算分离架构提供高可用、高可靠、高扩展能力，实现了向量化计算引擎提供极速数据分析能力，通过多异构存储关联查询实现湖仓融合能力，可以帮助企业用户轻松构建核心数仓和湖仓一体数据平台。
2023年6月，梧桐数据库（WuTongDB）产品通过信通院可信数据库分布式分析型数据库基础能力测评，在基础能力、运维能力、兼容性、安全性、高可用、高扩展方面获得认可。

点击访问：
梧桐数据库（WuTongDB）相关文章
 梧桐数据库（WuTongDB）产品宣传材料
 梧桐数据库（WuTongDB）百科