民怨沸腾网

首页 » 内衣 » 一文搞懂cookie、session、token、jwt、OAuth

一文搞懂cookie、session、token、jwt、OAuth

2024-04-30 02:29:23 内衣

一文搞懂cookie、session、token、jwt、OAuth

文章目录

  • 0 测试环境
  • 1 cookie
    • 1.1 概念
    • 1.2 使用flask设置cookie
    • 1.3 浏览器端访问
    • 1.4 设置简单cookie
    • 1.5 给cookie设置一些属性
    • 1.6 浏览器操作cookie
      • 1.6.1 原生js操作cookie
      • 1.6.2 jquery 操作cookie
    • 1.7 cookie的文搞缺点
  • 2 session
    • 2.1 概念
    • 2.2 使用flask设置session
    • 2.3 session的缺点
  • 3 token
    • 3.1 概念
    • 3.2 使用flask模拟token的使用场景
    • 3.3 token小结
  • 4 JWT
    • 4.1 概念
    • 4.2 jwt原理
    • 4.3 生成jwt
    • 4.4 校验jwt
    • 4.5 flask应用jwt测试
    • 4.6 jwt小结
  • 5 OAuth
    • 5.1 概念
    • 5.2 OAuth中的几个名词
    • 5.3 运行流程
    • 5.4 OAuth认证模式
    • 5.5 使用flask制作demo
      • 5.5.1 首先在资源服务器中注册第三方应用
      • 5.5.2 代码

0 测试环境

  • python解释器：pipenv 安装的python3.10.2虚拟环境
  • Django==4.1.1
  • Flask==2.2.2

1 cookie

1.1 概念

存储在客户端(浏览器)本地的小型文本文件，用于辨别用户身份，文搞保持浏览器会话。文搞

  • cookie一般小于4kb
  • cookie是文搞以key-value 格式存储的
  • expires属性
    • 会话型(默认) 存储在浏览器内存中，浏览器画面关闭自动删除
    • 持久型，文搞存储在本地文件中，文搞到期后或者浏览器强制删除后失效
  • path属性：定义站点上可以访问到该cookie的文搞目录
  • domain属性：设置cookie所属的域
  • secure属性：指定是否使用https协议
  • httponly 属性：用于防止客户端脚本通过document.cookie属性访问Cookie，有助于保护Cookie不被跨站脚本攻击窃取或篡改

1.2 使用flask设置cookie

cookie是文搞服务器设置的，通过HTTP响应，文搞将cookie返回给浏览器，文搞浏览器下次再访问这台服务器的文搞时候就会把这个cookie携带过去。

在这里插入图片描述

# -*- coding:utf-8 -*-'''PROJECT_NAME : auth_demofile    : appauthor  : 1032162439@qq.comdate    : 2022-09-08 17:52IDE     : PyCharm'''from flask import Flask,文搞 request, make_responseapp = Flask(__name__)@app.route('/set_cookie')def set_cookie():    """    设置cookie    :return:     """    resp = make_response('set cookie success')    resp.set_cookie('user', 'zhangsan')    return resp@app.route('/source')def source():    """    资源目录    :return:     """    user = request.cookies.get('user')    print(user)    if not user:        return '无权限'    else:        return '有权访问'if __name__ == '__main__':    # 启动app, 开启调试模式    app.run(debug=True)

1.3 浏览器端访问

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

1.4 设置简单cookie

访问 http://testsite.api:5000/set_cookie
在这里插入图片描述
在这里插入图片描述
设置好cookie之后，再次访问资源路径http://testsite.api:5000/source

这样就可以访问到资源了。文搞
在这里插入图片描述

1.5 给cookie设置一些属性

#########  与上部分代码相同  ################@app.route('/set_cookie')def set_cookie():    """    设置cookie    :return:    """    resp = make_response('set cookie success')    resp.set_cookie('user',文搞 'zhangsan', max_age=30, path='/source', domain='testsite.api', httponly=True)    return resp#########################

通过上面设置后的cookie：

  • 有效时长是30s
  • 设置路径是/source下面的，不能是文搞其他路径，/content就访问不了
  • 只有域名testsite.api 有效
  • httponly 设置为True ，访问前端窃取cookie

1.6 浏览器操作cookie

1.6.1 原生js操作cookie

function setCookie(cname, cvalue, exdays) {     var d = new Date();    d.setTime(d.getTime() + (exdays*24*60*60*1000));    // var expires = "expires="+ d.toUTCString();    var expires = "expires="+ d.toGMTString();    document.cookie = cname + "=" + cvalue + ";" + expires + ";path=/;";}cookie设置的过期时间比较的是GMT时间getTime() 方法获取1970年01月01日午夜至今的毫秒数（GMT时间）setTime() 的作用是设置日期对象，例如设置后的日期对象为：Thu Sep 17 2020 17:03:00 GMT+0800 (中国标准时间)。返回值是毫秒数。toGMTString() 方法把日期对象转换为GMT时间字符串

1.6.2 jquery 操作cookie

1.7 cookie的缺点

cookie是不够安全的，很容易被黑客截获cookie，CSRF攻击就是利用了这个安全漏洞，如果想了解CSRF攻击本质的，请查阅我的这篇文章：

https://jianfei.blog.csdn.net/article/details/125180076

2 session

由于cookie存储在浏览器端，导致cookie是不够安全的，后面就诞生了session.

2.1 概念

session存储于服务器端，用于识别用户身份和保持浏览器会话。
在这里插入图片描述
session是依赖于cookie的，session会把key通过cookie传送给浏览器，浏览器再次发起请求时会携带session ID

2.2 使用flask设置session

# -*- coding:utf-8 -*-'''PROJECT_NAME : auth_demofile    : app2author  : 1032162439@qq.comdate    : 2022-09-08 21:18IDE     : PyCharm'''from flask import Flask, sessionapp = Flask(__name__)app.secret_key = 'secret key string'@app.route('/set_session')def set_session():    """    设置session    :return:     """    session['user'] = 'zhangsan'    return 'set session success!'@app.route('/clear_session')def clear_session():    """    清理session    :return:     """    session.clear()    return 'clear session success!'@app.route('/source')def source():    """    资源    :return:     """    if not session.get('user'):        return '无权访问'    return '有权访问'if __name__ == '__main__':    app.run(debug=True)

  • 不设置session访问资源
    在这里插入图片描述
    很显然，访问不了

  • 设置session
    在这里插入图片描述
    cookie中出现了session
    再次访问资源
    在这里插入图片描述
    flask session的原理这里不多赘述，如果有兴趣可以看我的另一篇博客：
    https://jianfei.blog.csdn.net/article/details/124118365

2.3 session的缺点

  • 占用服务器资源，降低效率
  • 因为依赖cookie，依然存在安全性问题
  • 分布式部署时，session共享是必须要考虑的

3 token

3.1 概念

token其实说的更通俗点可以叫暗号，在一些数据传输之前，要先进行暗号的核对，不同的暗号被授权不同的数据操作。
一般用户登录后会给登录的用户授予一个token，当用户第二次访问服务器的时候会携带token，token中一般会包含用户基本信息，权限信息，过期时间等

3.2 使用flask模拟token的使用场景

# -*- coding:utf-8 -*-'''PROJECT_NAME : auth_demofile    : app3author  : 1032162439@qq.comdate    : 2022-09-08 22:11IDE     : PyCharm'''import jsonfrom flask import Flask, request, make_responseapp = Flask(__name__)app.secret_key = 'secret key string'token_dict = {     'user_1': {         'name': 'zhangsan',        'pwd': '123456',        'token': 'zhangsan token',        'role': 'admin'    },    'user_2': {         'name': 'lisi',        'pwd': '123456',        'token': 'lisi token',        'role': 'user'    }}@app.route('/gen_token/')def gen_token(user):    resp = make_response('gen token success')    resp.set_cookie('token', json.dumps(token_dict.get(user)))    return resp@app.route('/source')def source():    origin_token = request.args.get('token')    if not origin_token:        return '请传递token'    token_dict = json.loads(origin_token)    print(token_dict)    if token_dict.get('role') == 'admin':        return '管理员权限'    elif token_dict.get('role') == 'user':        return '普通用户权限'    else:        return '无权限'if __name__ == '__main__':    app.run(debug=True)

3.3 token小结

  • 后端给前端发token的方式

    • 通过cookie携带token
    • 通过设置响应头

  • 前端存储token的方式

    • localStorage sessionStorage
    • cookie

  • 前端携带token的方式

    • get请求 http://domain:port?token=token string
    • post请求 将token放在请求头中 设置authenticate请求头的值为token

  • token时效性

    • 会话型
    • 持久性
    • 用户请求服务器是否刷新token，都是按照业务需求来的

token一般会存储在内存中或者是磁盘中，存储token同样会浪费服务器资源。目前token用的比较少，一般都用jwt取代了。

4 JWT

JWT == Json Web Token

4.1 概念

jwt本质上就是一段加密字符串，里面存储了用户基本信息。token不需要存储在服务器端。广泛应用于前后端分离项目。
在这里插入图片描述
在项目开发中，一般会按照上图所示的过程进行认证，即：用户登录成功之后，服务端给用户浏览器返回一个token，以后用户浏览器要携带token再去向服务端发送请求，服务端校验token的合法性，合法则给用户看数据，否则，返回一些错误信息。

  • 传统token方式和jwt在认证方面有什么差异？

    • 传统token方式

      用户登录成功后，服务端生成一个随机token给用户，并且在服务端(数据库或缓存)中保存一份token，以后用户再来访问时需携带token，服务端接收到token之后，去数据库或缓存中进行校验token的是否超时、是否合法。

    • jwt方式

      用户登录成功后，服务端通过jwt生成一个随机token给用户（服务端无需保留token），以后用户再来访问时需携带token，服务端接收到token之后，通过jwt对token进行校验是否超时、是否合法。

4.2 jwt原理

jwt就是由点号连接的三段字符串

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

在这里插入图片描述

  • 生成规则

    • 第一段HEADER部分，固定包含算法和token类型，对此json进行base64url加密，这就是token的第一段。

      { 	"alg": "HS256",	"typ": "JWT"}

    • 第二段PAYLOAD部分，包含一些数据，对此json进行base64url加密，这就是token的第二段

      { 	# jwt 约定了一些字段	iss (issuer)：签发人	sub (subject)：主题	aud (audience)：受众	exp (expiration time)：过期时间	nbf (Not Before)：生效时间，在此之前是无效的	iat (Issued At)：签发时间	jti (JWT ID)：编号	# 也可以自定义一些字段	username： '张阿森纳'	pwd: 'fdsafdsafs'	role: 'admin'}

    • 第三段SIGNATURE部分，把前两段的base密文通过.拼接起来，然后对其进行HS256加密，再然后对hs256密文进行base64url加密，最终得到token的第三段。

      { 	base64url(	    HMACSHA256(	      base64UrlEncode(header) + "." + base64UrlEncode(payload),	      your-256-bit-secret (秘钥加盐)	    )	)}

最后将三段字符串通过 .拼接起来就生成了jwt的token。

注意：base64url加密是先做base64加密，然后再将 - 替代 + 及 _ 替代 / 。

4.3 生成jwt

可以自己拼接jwt字符串，也可以使用现有的库，一般开发中都会使用库。

  • 安装pyjwt

    pip install pyjwt==2.4.0
    注意： 不同版本的pyjwt，提供的api可能不同。

  • 使用

    # -*- coding:utf-8 -*-'''PROJECT_NAME : auth_demofile    : test_jwtauthor  : 1032162439@qq.comdate    : 2022-09-09 07:30IDE     : PyCharm'''import jwtimport datetimeSECRET_KEY = 'iv%x6xo7l7_u9bf_u!9#g#m*)*=ej@bek5)(@u3kh*72+unjv='def create_token():    """    生成json web token    :return:    """    # 构造header    headers = {         'typ': 'jwt',        'alg': 'HS256'    }    # 构造payload    payload = {         'user_id': 1,  # 自定义用户ID        'username': 'zs',  # 自定义用户名        'exp': datetime.datetime.utcnow() + datetime.timedelta(minutes=5)  # 超时时间    }    result = jwt.encode(payload=payload, key=SECRET_KEY, algorithm="HS256", headers=headers)    return resultif __name__ == '__main__':    token = create_token()    print(type(token))    # print(token)    # eyJ0eXAiOiJqd3QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6InpzIiwiZXhwIjoxNjYyNjkxMjc5fQ.21EiFPyo07Cn_DudXRYbjW-DX7-xT-FFy22u6x84gGA

4.4 校验jwt

一般在认证成功后，把jwt生成的token返回给用户，以后用户再次访问时候需要携带token，此时jwt需要对token进行超时及合法性校验。

获取token之后，会按照以下步骤进行校验：

将token分割成 header_segment、payload_segment、crypto_segment 三部分

  • 对第一部分header_segment进行base64url解密，得到header

  • 对第二部分payload_segment进行base64url解密，得到payload

  • 对第三部分crypto_segment进行base64url解密，得到signature

    对第三部分signature部分数据进行合法性校验

    • 拼接前两段密文，即：signing_input
    • 从第一段明文中获取加密算法，默认：HS256
    • 使用 算法+盐 对signing_input 进行加密，将得到的结果和signature密文进行比较。

  • 完整测试代码

    # -*- coding:utf-8 -*-'''PROJECT_NAME : auth_demofile    : test_jwtauthor  : 1032162439@qq.comdate    : 2022-09-09 07:30IDE     : PyCharm'''import jwtimport datetimefrom jwt import exceptionsSECRET_KEY = 'iv%x6xo7l7_u9bf_u!9#g#m*)*=ej@bek5)(@u3kh*72+unjv='def create_token():    """    生成json web token    :return:    """    # 构造header    headers = {         'typ': 'jwt',        'alg': 'HS256'    }    # 构造payload    payload = {         'user_id': 1,  # 自定义用户ID        'username': 'zs',  # 自定义用户名        'exp': datetime.datetime.utcnow() + datetime.timedelta(minutes=5)  # 超时时间    }    result = jwt.encode(payload=payload, key=SECRET_KEY, algorithm="HS256", headers=headers)    return resultdef get_payload(token):    """    根据token获取payload    :param token:    :return:    """    try:        verified_payload = jwt.decode(jwt=token, key=SECRET_KEY, algorithms=['HS256'])        return verified_payload    except exceptions.ExpiredSignatureError:        print('token已失效')    except jwt.DecodeError:        print('token认证失败')    except jwt.InvalidTokenError:        print('非法的token')if __name__ == '__main__':    token = create_token()    print(type(token))    # print(token)    # eyJ0eXAiOiJqd3QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJ1c2VybmFtZSI6InpzIiwiZXhwIjoxNjYyNjkxMjc5fQ.21EiFPyo07Cn_DudXRYbjW-DX7-xT-FFy22u6x84gGA    payload = get_payload(token)    print(type(payload))    # print(payload)    # { 'user_id': 1, 'username': 'zs', 'exp': 1662692095}

4.5 flask应用jwt测试

# -*- coding:utf-8 -*-'''PROJECT_NAME : auth_demofile    : app4_jwtauthor  : 1032162439@qq.comdate    : 2022-09-09 10:52IDE     : PyCharm'''import datetimefrom flask import Flask, jsonify, requestimport jwtfrom jwt import exceptionsapp = Flask(__name__)app.secret_key = 'secret key string!'def create_token(payload):    """    生成token    :param payload: 需要jwt携带的参数    :return:    """    # 构造header    headers = {         'typ': 'jwt',        'alg': 'HS256'    }    token = jwt.encode(payload=payload, key=app.secret_key, algorithm="HS256", headers=headers)    return tokendef get_payload(token):    """    根据token获取payload    :param token:    :return:    """    status = { 'status': None, 'data': None}    try:        verified_payload = jwt.decode(jwt=token, key=app.secret_key, algorithms=['HS256'])        status['status'] = True        status['data'] = verified_payload    except exceptions.ExpiredSignatureError:        status['status'] = False        status['data'] = 'token已过期'    except jwt.DecodeError:        status['status'] = False        status['data'] = 'token验证失败'    except jwt.InvalidTokenError:        status['status'] = False        status['data'] = '无效token'    return status@app.route('/gen_jwt')def gen_jwt():    """    生成jwt视图函数    :return:    """    payload = {         'user_id': 1,        'user_name': 'zs'    }    context = {         'jwt': create_token(payload)    }    return jsonify(context)@app.route('/source')def source():    """    返回资源视图函数    :return:    """    return '资源列表'@app.before_requestdef check_token():    if request.path == '/gen_jwt':        return    token = request.args.get('token')    result = get_payload(token)    if not result['status']:        return jsonify({ 'error': result['data']})    print(f'当前访问的用户为{ result["data"]["user_name"]}')    returnif __name__ == '__main__':    app.run(debug=True)

4.6 jwt小结

jwt广泛应用于前后端分离的网站认证，因为其轻便，不占用存储空间，没有cookie那种跨域的限制，广泛被应用。

5 OAuth

5.1 概念

官方解释
OAuth（开放授权）是一个开放标准，允许用户让第三方应用（网站/app）访问该用户在另一网站（qq, 微博，微信等等）上存储的私密的资源（如照片，视频，联系人列表），而无需将用户名和密码提供给第三方应用。

通俗理解

假设开发者开发了一个网站，这个网站用于查询图书信息，用户想要使用这个网站查询图书信息，必须要通过用户名和密码认证之后获取权限后才可以，新用户必须要先注册，从用户角度考虑，用户不想把用户名和密码交给一个小网站来管理，因为用户会担心安全问题，现在无论是手机app还是网站，在登录界面都会有一些使用微信登录、QQ登录等，开发者使用OAuth框架给我们的网站添加一个github认证

在这里插入图片描述

随便打开知乎登录页面，就可以看到第三方提供的登录方式，这就是OAuth。

5.2 OAuth中的几个名词

  • 第三方应用，也称客户端，就是上面例子中说的提供图书信息的应用
  • HTTP服务提供商，简称服务提供商，等价于上面例子中的github
  • 资源所有者，上面例子中的用户。
  • 认证服务器，即服务提供商专门用来处理认证的服务器。
  • 资源服务器，即服务提供商存放用户生成的资源的服务器。它与认证服务器，可以是同一台服务器，也可以是不同的服务器。

5.3 运行流程

在这里插入图片描述

  • A 用户打开客户端以后，客户端要求用户给予授权。
  • B 用户同意给予客户端授权。
  • C 客户端使用上一步获得的授权，向认证服务器申请令牌。
  • D 认证服务器对客户端进行认证以后，确认无误，同意发放令牌。
  • E 客户端使用令牌，向资源服务器申请获取资源。
  • F 资源服务器确认令牌无误，同意向客户端开放资源。

5.4 OAuth认证模式

OAuth有四种认证模式，分别是：

  • 授权码模式（authorization code）
  • 简化模式（implicit）
  • 密码模式（resource owner password credentials）
  • 客户端模式（client credentials）

授权码模式是应用最多的，所以用授权码模式做案例。

授权码模式的OAuth认证流程：

在这里插入图片描述

小结一下：

先获取到code，再使用code获取到access_token,使用access_token获取用户信息，将用户信息封装到jwt的payload中，将封装好的jwt发送到前端。

5.5 使用flask制作demo

5.5.1 首先在资源服务器中注册第三方应用

  • 在github中注册
    在这里插入图片描述
  • 在gitee中注册
    在这里插入图片描述
    在这里插入图片描述

保存好Client ID 和 Client Secret，后面要用。

5.5.2 代码

  • 目录结构
    • flask_demo
      — templates
      ------- index.html
      ------- login.html
      — app.py

flask_demo/templates/login.html

login
Hello OAuth2
其他登录方式
{  context.github_auth_url }}">github登录 
{  context.gitee_auth_url }}">gitee登录

flask_demo/templates/index.html

Home
欢迎登录
{ % if user_info.user_name %}        
用户名: { {  user_info.user_name }}
{ % else %}        
{ {  user_info.msg }}
{ % endif %}    { % if user_info.avatar_url %}        
头像: 头像信息
{ % endif %}    
token: { {  jwt }}
{  jwt }}">获取资源列表

flask_demo/app.py

# -*- coding:utf-8 -*-'''PROJECT_NAME : auth_demofile    : app5_oauthauthor  : 1032162439@qq.comdate    : 2022-09-09 11:37IDE     : PyCharm'''import jsonimport jwtimport requestsfrom jwt import exceptionsfrom flask import Flask, render_template, request, redirect# 实例化app对象app = Flask(__name__)# 设置secret keyapp.secret_key = 'secret key string!'# github 的 client id、 client secret、 redirect urigithub_client_id = '710286c573a2d51dcf09'github_client_secret = 'you client secret'github_redirect_uri = 'http://127.0.0.1:5000/oauth2/github/callback'# github 用户信息 apigithub_user_info_url = 'https://api.github.com/user'# github access_token apigithub_access_token_url = 'https://github.com/login/oauth/access_token'# gitee 的 client id、 client secret、 redirect urigitee_client_id = '0dd3dc5d005a384d1e5dba633eabfdb59c6bc9d68df8eca374e3245e92156e40'gitee_client_secret = 'you client secret'gitee_redirect_uri = 'http://127.0.0.1:5000/oauth2/gitee/callback'# gitee 用户信息apigitee_user_info_url = 'https://gitee.com/api/v5/user'# gitee access_token apigitee_access_token_url = 'https://gitee.com/oauth/token'def get_github_user_info(access_token):    """    获取github用户信息    注意：github用户信息api，要求必须以请求头的形式传递token，不能以url方式传参    :param access_token:    :return:    """    headers = {         'Authorization': f'token { access_token}'    }    resp = requests.get(url=github_user_info_url, headers=headers)    if resp.status_code == 200:        return json.loads(resp.text)    else:        return { 'msg': '认证失败'}def get_gitee_user_info(access_token):    """    获取gitee用户信息    :param access_token:    :return:    """    resp = requests.get(url=gitee_user_info_url,                        data={                             'access_token': access_token                        })    if resp.status_code == 200:        return json.loads(resp.text)    else:        return { 'msg': '认证失败'}def get_gitee_access_token(code):    """    获取gitee的access token  该token用于向gitee请求用户信息    :param code:    :return:    """    status = { 'status': None, 'msg': None, 'data': ''}    try:        resp = requests.post(            url=gitee_access_token_url,            data={                 'grant_type': 'authorization_code',                'client_id': gitee_client_id,                'client_secret': gitee_client_secret,                'code': code,                'redirect_uri': gitee_redirect_uri            }        )        if resp.status_code == 200:            status['status'] = True            status['msg'] = 'ok'            status['data'] = json.loads(resp.text).get('access_token')    except Exception as e:        status['status'] = False        status['msg'] = f'error:{ e}'    return statusdef get_github_access_token(code):    """    获取github 的access token 用于向github获取用户信息    :param code:    :return:    """    status = { 'status': None, 'msg': None, 'data': ''}    try:        resp = requests.post(            url=github_access_token_url,            data={                 'client_id': github_client_id,                'client_secret': github_client_secret,                'code': code,            }        )        if resp.status_code == 200:            status['status'] = True            status['msg'] = 'ok'            status['data'] = resp.content.decode('utf-8').split('&')[0].split('=')[1]    except Exception as e:        status['status'] = False        status['msg'] = f'error:{ e}'    return status@app.route('/login')def login():    """    登录接口    :return:    """    context = {         'github_auth_url': f'https://github.com/login/oauth/authorize?client_id={ github_redirect_uri}',        'gitee_auth_url': f'https://gitee.com/oauth/authorize?client_id={ gitee_redirect_uri}&response_type=code'    }    return render_template('login.html', context=context)@app.route('/oauth2/github/callback')def oauth_github_callback():    code = request.args.get('code')    print(f'github:{ code}')    status = get_github_access_token(code)    print(status)    access_token = status.get('data')    github_user_info = get_github_user_info(access_token)    print(github_user_info)    jwt_payload = {         'user_id': github_user_info['id'],        'user_name': github_user_info['login'],    }    jwt = create_jwt(jwt_payload)    return render_template('index.html', user_info=github_user_info, jwt=jwt)@app.route('/oauth2/gitee/callback')def oauth_gitee_callback():    code = request.args.get('code')    print(f'gitee: { code}')    status = get_gitee_access_token(code)    access_token = status.get('data')    gitee_user_info = get_gitee_user_info(access_token)    print(gitee_user_info)    jwt_payload = {         'user_id': gitee_user_info['id'],        'user_name': gitee_user_info['login'],    }    jwt = create_jwt(jwt_payload)    return render_template('index.html', user_info=gitee_user_info, jwt=jwt)def create_jwt(payload):    """    生成token    :param payload: 需要jwt携带的参数    :return:    """    # 构造header    headers = {         'typ': 'jwt',        'alg': 'HS256'    }    token = jwt.encode(payload=payload, key=app.secret_key, algorithm="HS256", headers=headers)    return tokendef check_jwt(token):    status = { 'status': None, 'msg': None}    try:        verified_payload = jwt.decode(jwt=token, key=app.secret_key, algorithms=['HS256'])        status['status'] = True        status['msg'] = verified_payload    except exceptions.ExpiredSignatureError:        status['msg'] = 'token已失效'    except jwt.DecodeError:        status['msg'] = 'token认证失败'    except jwt.InvalidTokenError:        status['msg'] = '非法的token'    return status# 不需要验证token的白名单WHITE_LIST = [    '/login',    '/oauth2/gitee/callback',    '/oauth2/github/callback',]@app.route('/source')def source():    """    资源接口    :return:    """    return '资源列表'@app.before_requestdef check_jwt_hook():    """    拦截请求，校验token是否合法    :return:    """    # 如果请求路径在白名单内    if request.path in WHITE_LIST:        return    # 获取请求路径中的token    jwt = request.args.get('token')    if not jwt:        # 如果没有传递token，重定向到登录页面        return redirect('/login')    # 检验jwt    status = check_jwt(jwt)    if not status['status']:        print(status['msg'])        # 如果jwt校验失败还是重定向到登录页面        return redirect('/login')    # jwt校验成功直接到视图函数    returnif __name__ == '__main__':    app.run(debug=True)

  • 访问http://127,0.0.1:5000/login
    在这里插入图片描述
    点击gitee登录出现下面请求授权界面，选择同意。
    在这里插入图片描述

  • 需要输入gitee的用户名和密码
    在这里插入图片描述

  • 使用gitee用户登录到第三方应用成功。
    在这里插入图片描述

127.0.0.1 - - [10/Sep/2022 13:25:32] "GET /login HTTP/1.1" 200 -127.0.0.1 - - [10/Sep/2022 13:26:24] "GET /oauth2/gitee/callback?code=b89f94b3725b7a2f25c5809f3865fd7247fbac5413d0a850e99cc9333d16a38f HTTP/1.1" 200 -

其他平台的原理基本一样，只是gitee在国内，所以选择这个做测试，github有时候可能链接不上

未经允许不得转载：民怨沸腾网 » 一文搞懂cookie、session、token、jwt、OAuth

相关推荐

商品推荐