玩转JWT，PyJWT库是你的不二之选

最新推荐文章于 2025-07-05 19:36:28 发布

原创最新推荐文章于 2025-07-05 19:36:28 发布 · 826 阅读

11 ·

CC 4.0 BY-SA版权

文章标签：

#Python #pyjwt

Python 专栏收录该内容

418 篇文章

订阅专栏

文章目录

玩转JWT，PyJWT库是你的不二之选

玩转JWT，PyJWT库是你的不二之选

一、背景：为什么选择PyJWT？

在现代Web开发中，身份验证和信息交换是不可或缺的环节。JSON Web
Token（JWT）作为一种轻量级、独立于平台的安全令牌，被广泛用于用户认证、信息传递和API授权。然而，手动处理JWT的生成、解析和验证不仅繁琐，还容易出错。PyJWT库的出现，正是为了解决这些问题。它提供了简单易用的API，支持多种加密算法，能够高效地处理JWT的生成、解析和验证。接下来，我们将深入探索PyJWT的强大功能。

二、PyJWT是什么？

PyJWT是一个流行的Python第三方库，专门用于处理JSON Web Token（JWT）。它基于RFC
7519标准，支持多种加密算法（如HS256、RS256等），能够轻松生成、解析和验证JWT。通过PyJWT，开发者可以快速实现安全的身份验证和信息交换。

三、如何安装PyJWT？

作为第三方库，PyJWT可以通过pip命令轻松安装。在终端中运行以下命令即可完成安装：

bash复制

pip install PyJWT

安装完成后，你就可以在Python项目中导入并使用PyJWT。

四、PyJWT的常用函数及使用方法

以下是PyJWT中常用的五个函数及其使用方法：

1. `jwt.encode(payload, key, algorithm)`

用于生成JWT。

Python复制

import jwt
import datetime

payload = {
    "user_id": 123,
    "exp": datetime.datetime.utcnow() + datetime.timedelta(hours=1)
}
token = jwt.encode(payload, "secret_key", algorithm="HS256")
print(token)

payload 是要编码的数据，通常包含用户信息和过期时间。
key 是用于签名的密钥。
algorithm 指定加密算法。

2. `jwt.decode(jwt, key, algorithms)`

用于解析和验证JWT。

Python复制

decoded_payload = jwt.decode(token, "secret_key", algorithms=["HS256"])
print(decoded_payload)

jwt 是要解析的JWT字符串。
key 是用于验证签名的密钥。
algorithms 指定允许的加密算法。

3. `jwt.ExpiredSignatureError`

当JWT过期时，decode方法会抛出此异常。

Python复制

try:
    decoded_payload = jwt.decode(token, "secret_key", algorithms=["HS256"])
except jwt.ExpiredSignatureError:
    print("Token has expired!")

通过捕获此异常，可以处理过期的JWT。

4. `jwt.InvalidTokenError`

当JWT无效（如签名错误）时，会抛出此异常。

Python复制

try:
    decoded_payload = jwt.decode(token, "secret_key", algorithms=["HS256"])
except jwt.InvalidTokenError:
    print("Invalid token!")

此异常可用于处理无效的JWT。

5. `jwt.encode`的`headers`参数

可以为JWT添加自定义头部。

Python复制

token = jwt.encode({"name": "John"}, "secret_key", algorithm="HS256", headers={"kid": "12345"})
print(token)

headers参数允许在JWT头部添加额外信息。

五、PyJWT的五大应用场景及代码示例

1. 用户登录与身份验证

Python复制

import jwt
import datetime

# 用户登录成功后生成JWT
payload = {
    "user_id": 123,
    "exp": datetime.datetime.utcnow() + datetime.timedelta(hours=1)
}
token = jwt.encode(payload, "secret_key", algorithm="HS256")
print("Generated Token:", token)

# 验证JWT
try:
    decoded_payload = jwt.decode(token, "secret_key", algorithms=["HS256"])
    print("User ID:", decoded_payload["user_id"])
except jwt.ExpiredSignatureError:
    print("Token has expired!")
except jwt.InvalidTokenError:
    print("Invalid token!")

用户登录成功后，服务器生成JWT并返回给客户端。
客户端在后续请求中携带JWT，服务器通过验证JWT确认用户身份。

2. API授权

Python复制

# 生成带有权限信息的JWT
payload = {
    "user_id": 123,
    "permissions": ["read", "write"],
    "exp": datetime.datetime.utcnow() + datetime.timedelta(hours=1)
}
token = jwt.encode(payload, "secret_key", algorithm="HS256")

# 验证权限
try:
    decoded_payload = jwt.decode(token, "secret_key", algorithms=["HS256"])
    if "write" in decoded_payload["permissions"]:
        print("User has write permission")
    else:
        print("User does not have write permission")
except jwt.ExpiredSignatureError:
    print("Token has expired!")
except jwt.InvalidTokenError:
    print("Invalid token!")