使用python实现后台系统的JWT认证

介绍

JWT协议似乎已经应用十分广泛，JSON Web Token——一种基于token的json格式web认证方法。基本的原理是，第一次认证通过用户名密码，服务端签发一个json格式的token。后续客户端的请求都携带这个token，服务端仅需要解析这个token，来判别客户端的身份和合法性。JWT协议仅仅规定了这个协议的格式，主要分为三部分：
1.header头部：
声明类型，这里是jwt
声明加密的算法 通常直接使用 HMAC SHA256，再将其进行base64编码
{
'typ': 'JWT',
'alg': 'HS256'
}

2 payload载荷：
payload是放置实际有效使用信息的地方。JWT定义了几种内容，包括：

标准中注册的声明，如签发者，接收者，有效时间（exp），时间戳（iat,issued at）等；为官方建议但非必须
{
'user_id': 2342,
'user_role': root,
'iat': 1577255177
}
payload中的内容是自由的，按照自己开发的需要加入。

3 signature
存储了序列化的secreate key和salt key。这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。

JWT实现

这里使用python模块itsdangerous，这个模块能做很多编码工作，其中一个是实现JWS的token序列。
genTokenSeq这个函数用于生成token。其中使用的是TimedJSONWebSignatureSerializer进行序列的生成，这里secret_key密钥、salt值是随机uuid，当然也可以自定义。expires_in是超时时间间隔，这个间隔以秒记，可以直接在这里设置

from itsdangerous import TimedJSONWebSignatureSerializer as Serializer
import time


def genTokenSeq(name, passwd, address, expires=300):
    '''
    加密数据为jwt字符串
    :param name: 用户名
    :param passwd: 用户密码
    :param address: 服务器地址
    :param expires: 过期时间，默认5分钟，单位：秒
    :return: 返回字节流字符串
    salt:随机字符串，默认不可变，更改需要与服务器沟通
    secret_key:秘钥，默认不可变，更改需要与服务器沟通
    '''
    s = Serializer(
        salt='16fcf475-5180-4916-83c1-5ff79616eaa9',
        secret_key='4180da82-0c83-4d66-ab14-e2793573ecaa',
        expires_in=expires
    )
    timestamp = time.time()
    json_str = {
         'user_name': name,
         'user_passwd': passwd,
         'user_address': address,
         'timeout': expires,
         'iat': timestamp
    }
    return s.dumps(json_str)

使用这个Serializer可以帮我们处理好header、signature的问题。我们只需要用s.dumps将payload的内容写进来。
生成的token是这样的 eyJleHAiOjE1NzM1NDkyOTgsImFsZyI6IkhTNTEyIiwiaWF0IjoxNTczNTQ4OTk4fQ.eyJ1c2VyX2FkZHJlc3MiOjEyMCwidGltZW91dCI6MzAwLCJpYXQiOjE1NzM1NDg5OTguODI2NjY4LCJ1c2VyX3Bhc3N3ZCI6Im0iLCJ1c2VyX25hbWUiOiJ4eCJ9.ixTUKxwB6TW8K2dQMBYb6hfZpIejEv45nPL5AfVSI8A91Ec76BroXgPTaAEPfxSER5PnAghWDkaCOhcqsMRMKA

这个是解码：
from itsdangerous import TimedJSONWebSignatureSerializer as Serializer
from itsdangerous import SignatureExpired, BadSignature, BadData

def tokenAuth(token):
    '''
    解码jwt数据
    :param token: jwt字符串
    :return: 返回解密后的数据
    '''
    s = Serializer(
        secret_key='4180da82-0c83-4d66-ab14-e2793573ecaa',
        salt='16fcf475-5180-4916-83c1-5ff79616eaa9')
    try:
        data = s.loads(token)
    except SignatureExpired:
        msg = 'token expired'
        return [None, msg]
    except BadSignature as e:
        encoded_payload = e.payload
        if encoded_payload is not None:
            try:
                s.load_payload(encoded_payload)
            except BadData:
                # the token is tampered.
                msg = 'token tampered'
                return [None, msg]
        msg = 'badSignature of token'

        return [None, msg]
    except:
        msg = 'wrong token with unknown reason'
        return [None, msg]
    if ('user_name' not in data) or ('user_passwd' not in data) or ('user_address' not in data):
        msg = 'illegal payload inside'
        return [None, msg]
    msg = 'user(' + data['user_name'] + ') logged in by token.'

    user_name = data['user_name']
    user_passwd = data['user_passwd']
    user_address = data['user_address']

    return [user_name, user_passwd, user_address, msg]

解析需要使用到同样的serializer，配置一样的secret key和salt，使用loads方法来解析token。itsdangerous提供了各种异常处理类，用起来也很方便：

如果是SignatureExpired，则可以直接返回过期；
如果是BadSignature,则代表了所有其他签名错误的情况，于是又分为：
能读取到payload：那么这个消息是一个内容被篡改、消息体加密过程正确的消息，secret key和salt很可能泄露了；
不能读取到payload： 消息体直接被篡改，secret key和salt应该仍然安全。

检查和判定的机制如下：

1.使用加密的类，再用来解密（用上之前的密钥和盐值），得到结果存入data；
2.如果捕获到SignatureExpired异常，则代表根据token中的expired设置，token已经超时失效，返回‘token expired’；
3.如果是其他BadSignature异常，又要分为：
3.1 如果payload还完整，则解析payload，如果捕获BadData异常，则代表token已经被篡改，返回‘token tampered’；
3.2 如果payload不完整，直接返回‘badSignature of token’；
4.如果以上异常都不对，那只能返回未知异常‘wrong token with unknown reason’；
5.最后，如果data能正常解析，则将payload中的数据取出来，验证payload中是否有合法信息，如果数据不合法，则返回‘illegal payload inside’。一旦出现这种情况，则代表密钥和盐值泄露的可能性很大。