使用刷新令牌发出新的访问令牌后继续请求流程

Question

在我的Flask 应用程序中刷新过期的JWT 令牌后，我无法弄清楚如何继续请求流程。

我将access token 和refresh token 存储在各自的cookie 中。

这就是我的流程现在的样子：

下面是我的装饰器函数，用于检查JWT 令牌的有效性

def check_valid_jwt(f):
    @wraps(f)
    def wrapper():
        print(request.cookies)
        if 'access_token_cookie' in request.cookies:
            print('Verify Signature')
            # some code that verifies the JWT signature
            print('Signature verification successful')

            # some code that extracts claims from the token

            if time.time() > claims['exp']:
                print('Token is expired')
                # some code that get the new access token using refresh token
                # What am I supposed to do here after I get the refresh token and continue the request while adding the new token to access_token cookie?
            return f()

    return wrapper

这是我的受保护端点的样子：

@check_valid_jwt
def secretpage():
    return render_template("/home/secret_page.html")

获得刷新令牌后，我想继续请求流程并在 cookie 中添加新的 access token，但如果我在 check_valid_jwt 装饰器函数中添加它，secretpage 处理程序将不知道新的access token 已发布。

如何做到这一点，如果新的access token 已发布，它会被添加到响应中。我在这里完成了吗？这不是Authentication flow 的工作方式吗？

Answer 1

最好的方法是创建一个用于 JWT 认证的中间件而不是一个装饰器

from flask import Flask


class JWTAuthMiddleware(object):

    def __init__(self, app):
        self.app = app  

    def __call__(self, environ, start_response):
        access_token = environ.get('HTTP_AUTHORIZATION', None)

        # validate access token here and get new one if required by using refresh token

        # you can also update the invalid token in the header here if you want

        environ['HTTP_AUTHORIZATION'] = 'new access token'

        return self.app(environ, start_response)

现在用这个包装实际的 wsgi 应用程序

app = Flask(__name__)

app.wsgi_app = JWTAuthMiddleware(app.wsgi_app)