如何在python中正确构建json web token

Question

我正在尝试使用在 python django 中构建 Json Web 令牌 pyjwt library 参考 stackoverflow 中 Madhu_Kiran_K 的建议 link

在下面的代码中，我正在尝试生成一个 JSON Web 令牌，用于存储此用户的 ID、电子邮件，并将到期日期设置为未来 2 天。 我可以成功地对令牌进行编码和解码，以获得所有必需的用户信息和令牌过期时间。

我现在的要求：

1.)请问我如何验证并确保客户端发送的令牌仍然有效，因此不会被篡改。

2.)如何检查过期时间并打印消息。 这是我为此所做的工作

#check if the token were tampered

if content['user_id'] =='' or content['email'] == '':
    print("Invalid Token")
else:
    print("Token is still valid")

#check if token has expired after 2 days

    if content['exp'] > dt:
        print("Token is still active")
    else:
        print("Token expired. Get new one")

时间到期检查返回 int 和 datetime.datetime 实例之间不支持的错误消息。什么是正确的验证方法。谢谢

以下是完整代码

#!/usr/bin/python

import sys
import re
import json

from datetime import datetime, timedelta
import jwt


#https://www.guru99.com/date-time-and-datetime-classes-in-python.html
#timedelta(days=365, hours=8, minutes=15)
#'exp': int(dt.strftime('%s'))


dt = datetime.now() + timedelta(days=2)           
encoded_token = jwt.encode({'user_id': "abc", 'email': "nancy@gmail.com", 'exp': dt }, 'MySECRET goes here', algorithm='HS256')
print(encoded_token)

#decode above token
decode_token=jwt.decode(encoded_token, 'MySECRET goes here', algorithms=['HS256'])

content = decode_token
print(content)
print(content['user_id'])
print('json token successfully retrieved')

if content['user_id'] =='' or content['email'] == '':
    print("Invalid Token")
else:
    print("Token is still valid")

#check if token has expired after 2 days

    if content['exp'] > dt:
        print("Token is still active")
    else:
        print("Token expired. Get new one")

Answer 1

您不必手动检查令牌有效性或exp 截止日期，jwt.decode() 函数会为您验证两者。

例如，如果令牌太旧，jwt.decode() 将引发 jwt.ExpiredSignatureError exception，因此只需明确地捕获它：

try:
    decode_token = jwt.decode(encoded_token, 'MySECRET goes here', algorithms=['HS256'])
    print("Token is still valid and active")
except jwt.ExpiredSignatureError:
    print("Token expired. Get new one")
except jwt.InvalidTokenError:
    print("Invalid Token")

jwt.InvalidTokenError exception 是基本异常，捕获涵盖令牌验证可能失败的所有可能方式。如果您想捕获任何子类，例如jwt.ExpiredSignatureError，请将它们放在except ...: 块中，然后再捕获InvalidTokenError。

见usage examples documentation，尤其是Expiration Time Claim section：

过期时间在jwt.decode() 中自动验证，如果过期时间过去，则提高jwt.ExpiredSignatureError[.]