Python 如何验证 Token

在现代的应用程序中，Token 验证是一种常见的安全机制。Token 是一个由服务器颁发给客户端的令牌，用于验证客户端的身份和授权访问特定资源。在本文中，我们将探讨如何使用 Python 编程语言验证 Token，并提供一个具体的问题场景。

方案概述

要验证 Token，我们需要完成以下几个步骤：

  1. 定义 Token 格式和加密算法
  2. 生成 Token
  3. 验证 Token

问题场景

假设我们正在开发一个用户管理系统，需要用户在登录后才能访问受限资源。当用户成功登录后，服务器将生成一个 Token 并返回给客户端。客户端每次请求受限资源时，都需要在请求头中携带该 Token，服务器会验证 Token 的有效性，以确定用户是否有权限访问资源。

方案实现

步骤1：定义 Token 格式和加密算法

在本方案中，我们使用 JWT（JSON Web Token）作为 Token 的格式，使用 HMAC SHA-256 算法进行加密。

JWT 由三部分组成：头部、负载和签名。头部指定了 Token 的类型和加密算法，负载包含了一些自定义的数据（例如用户 ID、过期时间等），签名用于验证 Token 的完整性。

以下是一个 Token 的例子：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

步骤2：生成 Token

使用 Python 中的 PyJWT 库可以方便地生成 Token。以下是一个生成 Token 的示例代码：

import jwt
import datetime

def generate_token(user_id):
    payload = {
        'user_id': user_id,
        'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1)
    }
    secret_key = 'your_secret_key'
    token = jwt.encode(payload, secret_key, algorithm='HS256')
    return token

在上述代码中，generate_token 函数接受用户 ID 作为参数，并生成一个包含用户 ID 和过期时间的负载。然后，使用指定的秘钥对负载进行加密生成 Token。

步骤3：验证 Token

在服务器端，我们需要验证客户端提供的 Token 是否有效。以下是一个验证 Token 的示例代码：

import jwt

def verify_token(token):
    secret_key = 'your_secret_key'
    try:
        payload = jwt.decode(token, secret_key, algorithms=['HS256'])
        return payload
    except jwt.ExpiredSignatureError:
        # Token 已过期
        return None
    except jwt.InvalidTokenError:
        # Token 无效
        return None

在上述代码中，verify_token 函数接受一个 Token 作为参数，并使用指定的秘钥对其进行验证。如果 Token 有效，则返回解码后的负载；如果 Token 过期或无效，则返回 None。

序列图

下面是整个 Token 验证的过程的序列图：

sequenceDiagram
    participant Client
    participant Server
    
    Client->>Server: 登录请求
    Server->>Server: 验证用户名和密码
    alt 验证通过
        Server-->>Client: 返回 Token
    else 验证失败
        Server-->>Client: 返回错误信息
    end
    Client->>Server: 请求受限资源（携带 Token）
    Server->>Server: 验证 Token
    alt Token 有效
        Server-->>Client: 返回受限资源
    else Token 无效
        Server-->>Client: 返回错误信息
    end

旅程图

下面是用户登录并请求受限资源的整个过程的旅程图：

journey
    title 用户登录并请求受限资源的旅程
    
    section 用户登录
    登录页面->服务器: 提交用户名和密码
    服务器-->登录页面: 验证用户名和密码
    
    section 验