在Web开发中，基于Token的身份验证已成为替代传统Session机制的主流方案，而JWT（JSON Web Token）作为轻量级的Token标准，与HTTP协议结合紧密。以下是其核心原理与Python实现的关键点。
JWT的核心优势****
JWT由三部分组成：头部（Header） 声明加密算法，载荷（Payload） 携带用户标识和权限等声明，签名（Signature） 确保Token未被篡改。其优势在于：
1. 无状态性：服务端无需存储Token，天然支持分布式架构
2. 自包含性：Token内嵌用户信息，减少数据库查询
3. 跨域友好：基于HTTP头传输，完美适配RESTful API
Python实现流程****
1.
生成Token
使用PyJWT库创建Token，包含用户ID、过期时间等声明：
2.
3.
python复制代码
4.
5.
| import jwt | |
|---|---|
| from datetime import datetime, timedelta | |
| payload = { | |
| "user_id": 123, | |
| "exp": datetime.utcnow() + timedelta(hours=1) # 1小时有效期 | |
| } | |
| token = jwt.encode(payload, "SECRET_KEY", algorithm="HS256") |
6.
7.
客户端传递
客户端需将Token置于HTTP请求头：
8.
9.
http复制代码
10.
11.
| Authorization: Bearer |
|---|
12.
13.
服务端验证
通过中间件拦截请求，解码并校验Token：
14.
15.
python复制代码
16.
17.
| def verify_token(token): | |
|---|---|
| try: | |
| payload = jwt.decode(token, "SECRET_KEY", algorithms=["HS256"]) | |
| return payload["user_id"] | |
| except jwt.ExpiredSignatureError: | |
| return "Token已过期" | |
| except jwt.InvalidTokenError: | |
| return "无效Token" |
18.
安全增强策略****
· HTTPS强制：防止Token在传输中被截获
· 短期有效期：建议设置1-2小时有效期，配合Refresh Token机制
· 敏感信息保护：避免在Payload中存储密码等敏感数据
· 防CSRF攻击：结合SameSite Cookie策略或双重提交Token
性能优化方向****
· 缓存公钥：对RSA签名Token预先缓存验证公钥
· 批量验证：对高频接口采用Token预检机制
· 分布式黑名单：通过Redis存储已注销Token实现即时失效
该方案已广泛应用于微服务架构和单点登录（SSO）场景，开发者需根据具体业务需求权衡Token有效期、存储策略和安全机制。
