Day7-简单 JWT 认证

已于 2025-09-04 16:20:15 修改
阅读量328 收藏 3
点赞数 7
CC 4.0 BY-SA版权
分类专栏： 7天入门FastAPI后端开发 文章标签： 后端开发 fastapi jwt认证
于 2025-09-04 14:08:26 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_46253270/article/details/151117925
#王者杯·14天创作挑战营·第5期#

昨天搞定了依赖注入的基础，今天来解决认证问题。Day6我们留下了了一个问题：用全局变量current_user_id来记录登录状态，这在多进程环境下会有问题。今天用JWT来彻底解决这个问题。

现在的问题

Day6我们用全局变量current_user_id来记录登录状态，还有很多重复的认证和权限检查代码。全局变量在多进程环境下会有问题，而且每个API都要重复写相同的检查逻辑。

解决思路

用JWT（JSON Web Token）替换全局变量。JWT的好处：

  • 无状态：服务器不需要存储用户状态，所有信息都在token里
  • 可验证：用密钥签名，防止篡改
  • 跨服务：多个服务可以用同一个密钥验证token

然后用依赖注入把认证和权限检查抽出来，就像Day6的分页依赖一样。

我们分几步来改：

  1. 安装JWT库并配置密钥
  2. 创建JWT工具函数
  3. 实现认证与权限依赖
  4. 更新数据模型
  5. 更新登录API
  6. 更新文章API使用认证和权限依赖
  7. 测试JWT认证

第一步：安装JWT库

pip install python-jose[cryptography]

第二步：JWT配置和工具函数

创建auth.py：

# v7_jwt/auth.py
from datetime import datetime, timedelta
from typing import Optional
from jose import JWTError, jwt
from fastapi import HTTPException, status

# JWT配置
SECRET_KEY = "your-secret-key"
ALGORITHM = "HS256"
ACCESS_TOKEN_EXPIRE_MINUTES = 30

def create_access_token(data: dict, expires_delta: Optional[timedelta] = None):
    """创建JWT token"""
    to_encode = data.copy()
    if expires_delta:
        expire = datetime.utcnow() + expires_delta
    else:
        expire = datetime.utcnow() + timedelta(minutes=ACCESS_TOKEN_EXPIRE_MINUTES)
    
    to_encode.update({"exp": expire})
    encoded_jwt = jwt.encode(to_encode, SECRET_KEY, algorithm=ALGORITHM)
    return encoded_jwt

def verify_token(token: str) -> dict:
    """验证JWT token并返回payload"""
    try:
        payload = jwt.decode(token, SECRET_KEY, algorithms=[ALGORITHM])
        user_id_str: str = payload.get("sub")
        if user_id_str is None:
            raise HTTPException(
                status_code=401,
                detail="无效的认证凭据",
                headers={"WWW-Authenticate": "Bearer"},
            )
        # 转换为整数并验证
        try:
            user_id = int(user_id_str)
        except (ValueError, TypeError):
            raise HTTPException(
                status_code=401,
                detail="无效的用户ID",
                headers={"WWW-Authenticate": "Bearer"},
            )
        return {"user_id": user_id}
    except JWTError:
        raise HTTPException(
            status_code=401,
            detail="无效的认证凭据",
            headers={"WWW-Authenticate": "Bearer"},
        )

第三步：认证与权限依赖

在dependencies.py中添加认证和权限相关的依赖：

# v7_jwt/dependencies.py
from fastapi import Depends, HTTPException, status, Query
from fastapi.security import HTTPBearer, HTTPAuthorizationCredentials
from sqlalchemy.ext.asyncio import AsyncSession
from auth import verify_token
from database import AsyncSessionLocal
import crud

# 原有的依赖...
async def get_async_db():
    """数据库会话依赖"""
    # ... 保持不变

def get_pagination(
    page: int = Query(1, ge=1, description="页码，从1开始"),
    size: int = Query(10, ge=1, le=100, description="每页数量，最大100")
):
    """分页参数依赖"""
    # ... 保持不变

# 新增：认证和权限依赖
security = HTTPBearer()

# 认证依赖：解决"你是谁"的问题
async def get_current_user_id(
    credentials: HTTPAuthorizationCredentials = Depends(security)
) -> int:
    """获取当前用户ID（认证依赖）"""
    token = credentials.credentials
    payload = verify_token(token)
    return payload["user_id"]

async def get_current_user(
    user_id: int = Depends(get_current_user_id),
    db: AsyncSession = Depends(get_async_db)
):
    """获取当前用户对象（认证依赖）"""
    user = await crud.get_user_by_id(db, user_id)
    if not user:
        raise HTTPException(
            status_code=401,
            detail="用户不存在"
        )
    return user

# 权限依赖：解决"你能做什么"的问题

async def verify_post_owner(
    post_id: int,
    current_user_id: int = Depends(get_current_user_id),  # 先认证：从JWT获取用户ID
    db: AsyncSession = Depends(get_async_db)
):
    """验证文章所有权（权限依赖）
    
    自动检查：用户身份认证 → 文章存在性 → 所有权验证
    成功时返回文章对象，失败时抛出HTTP异常（401/403/404）
    """
    post = await crud.get_post_by_id(db, post_id)
    if not post:
        raise HTTPException(status_code=404, detail="文章不存在")
    
    if post.author_id != current_user_id:
        raise HTTPException(status_code=403, detail="只能操作自己的文章")
    
    return post

第四步：更新数据模型

首先在 schemas.py 中添加认证相关的模型：

# v7_jwt/schemas.py
from pydantic import BaseModel
from datetime import datetime
from typing import Optional

# 原有的模型保持不变
class TokenResponse(BaseModel):
    access_token: str
    token_type: str
    expires_in: int

第五步：更新登录API

现在登录API要返回JWT token而不是设置全局变量：

# v7_jwt/main.py
from fastapi import FastAPI, HTTPException, Depends, status, Request,Query
from sqlalchemy.ext.asyncio import AsyncSession
from typing import List, Optional
from datetime import timedelta

from dependencies import get_async_db, get_pagination, get_current_user, get_current_user_id, verify_post_owner
from schemas import UserRegister, UserResponse, UserLogin, PostCreate, PostResponse,TokenResponse
from auth import create_access_token, ACCESS_TOKEN_EXPIRE_MINUTES
import crud
import models

app = FastAPI(
    title="博客系统API v7.0",
    description="7天FastAPI学习系列 - Day7JWT版本",
    version="7.0.0"
)

# 改造登录API - 返回JWT token而不是设置全局变量
@app.post("/users/login", response_model=TokenResponse)
async def login_user(login_data: UserLogin, db: AsyncSession = Depends(get_async_db)):
    """用户登录"""
    logger.info(f"用户登录请求： 账户={login_data.account}")
    
    user = await crud.authenticate_user(db, login_data.account, login_data.password)
    if not user:
        logger.warning(f"登录失败: 账号或密码错误 - 账号={login_data.account}")
        raise HTTPException(status_code=401, detail="用户名或密码错误")

    logger.info(f"用户登录成功: ID={user.id}, 用户名={user.username}")

    # Day7 新增：创建并返回JWT token
    access_token_expires = timedelta(minutes=ACCESS_TOKEN_EXPIRE_MINUTES)
    access_token = create_access_token(
        data={"sub": str(user.id)}, 
        expires_delta=access_token_expires
    )
    
    return {
        "access_token": access_token,
        "token_type": "bearer",
        "expires_in": ACCESS_TOKEN_EXPIRE_MINUTES * 60
    }
    
# 改造用户资料API - 使用JWT认证依赖
@app.get("/users/profile", response_model=UserResponse)
async def get_current_user_profile(
    current_user = Depends(get_current_user)
):
    """获取当前登录用户信息（Day7 JWT认证版）"""
    # Day6及之前：从全局变量获取用户
    # Day7：通过JWT依赖自动获取认证用户
    return UserResponse(
        id=current_user.id,
        username=current_user.username,
        email=current_user.email,
        created_at=current_user.created_at
    )

第六步：更新文章API使用认证和权限依赖

现在所有需要登录的API都可以用依赖注入了：

# 创建文章 - 使用认证依赖
@app.post("/posts", response_model=PostResponse)
async def create_post(
    post: PostCreate,
    current_user_id: int = Depends(get_current_user_id),  # 依赖注入获取用户ID
    db: AsyncSession = Depends(get_async_db)
):
    """创建新文章"""
    # 不用再写 if not current_user_id 了！
    db_post = await crud.create_post(db, post, author_id=current_user_id)
    return PostResponse(
        id=db_post.id,
        title=db_post.title,
        content=db_post.content,
        author_id=db_post.author_id,
        created_at=db_post.created_at,
        updated_at=db_post.updated_at
    )

# 更新文章 - 使用权限依赖
@app.put("/posts/{post_id}", response_model=PostResponse)
async def update_post(
    post_id: int,  # 显式声明路径参数
    post_data: PostCreate, 
    post = Depends(verify_post_owner),  # 依赖注入验证权限并获取文章
    db: AsyncSession = Depends(get_async_db)
):
    """更新文章"""
    # 不用再写权限检查了！verify_post_owner已经帮我们做了
    updated_post = await crud.update_post(db, post, post_data)
    return PostResponse(
        id=updated_post.id,
        title=updated_post.title,
        content=updated_post.content,
        author_id=updated_post.author_id,
        created_at=updated_post.created_at,
        updated_at=updated_post.updated_at
    )

# 删除文章 - 使用权限依赖
@app.delete("/posts/{post_id}")
async def delete_post_api(    
    post_id: int, 
    post = Depends(verify_post_owner),
    db: AsyncSession = Depends(get_async_db)
    ):
    """删除文章""" 
    success = await crud.delete_post(db, post_id)
    if not success:
        raise HTTPException(status_code=500, detail="删除文章失败")
    
    return {"message": "文章删除成功"}

第七步：测试JWT认证

1. 登录获取token

curl -X POST "http://localhost:8000/users/login" \
  -H "Content-Type: application/json" \
  -d '{"account": "loji@qq.com","password": "Test136!"}'

# 返回：
# {
#   "access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
#   "token_type": "bearer",
#   "expires_in": 1800
# }

2. 使用token访问需要认证的API

# 获取当前用户信息
curl "http://localhost:8000/users/profile" \
  -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."

# 创建文章
curl -X POST "http://localhost:8000/posts" \
  -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." \
  -H "Content-Type: application/json" \
  -d '{"title": "海贼王1159话情报", "content": "洛克斯真名为“戴维•D•吉贝克”！夏琪是神之谷大赛的奖品"}'

3. 测试权限控制

# 尝试编辑别人的文章（应该返回403错误）
curl -X PUT "http://localhost:8000/posts/999" \
  -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." \
  -H "Content-Type: application/json" \
  -d '{"title": "海贼王最终章", "content": "千两道化-巴基当上海贼王，世界迎来红鼻子时代！"}'

今日总结

  1. JWT工具函数 - 创建和验证token，替代全局变量
  2. 认证依赖 - get_current_user_id和get_current_user解决"你是谁"
  3. 权限依赖 - verify_post_owner解决"你能做什么"

其他需要认证或权限控制的接口也可以采用类似的依赖注入方式实现。

系列回顾

通过这7天的学习，我们从零开始构建了一个完整的博客系统。虽然项目简单，但是我觉得对于想快速入门FastAPI的同学来说，应该还有一定帮助的。

项目开源

代码已上传github上，这是github仓库地址，如果项目对你有帮助，欢迎点个Star鼓励！

SpringSecurity系列——JWT（jjwt）day1-2
qq_51553982的博客
06-17 1500
jwt（JSON Web Tokens） JSON Web Token (JWT) 是一个开放标准 (RFC 7519)，它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息作为 JSON 对象。 此信息可以验证和信任，因为它是数字签名的。 JWT 可以使用密钥（使用 HMAC 算法）或使用 RSA 或 ECDSA 的公钥/私钥对进行签名。https://jwt.io/ 从这张图我们可以看出来jjwt是在Java中支持最好的，所以我们直接学这个http协议本身是一种无状态的协议，而这就意味着如
DRF-JWT认证、权限、限流
XueDaJing030409的博客
06-04 890
主要以 Django+DRF + Vue的开发模式，简单介绍以 jwt作为凭证，实现 用户注册、登录 一系列流程 以 Django 作为服务端 环境搭建 1Copy pip install django django-cors-headers djangorestframework djangorestframework-jwt Copy 项目配置信息 djangodemo/settings.py 1 2 3 4 5 6 7 8 9 1
day11--用户认证+微信扫码登录
2201_75550069的博客
07-21 813
本文详细介绍了基于SpringSecurity的用户认证系统设计与实现方案。系统采用模块化设计，主要包含以下核心功能： 多模式认证体系： 实现账号密码认证（支持BCrypt加密） 支持手机验证码认证 集成微信扫码登录（基于OAuth2协议） 关键技术实现： 通过自定义UserDetailsService连接用户中心数据库 扩展用户身份信息存储 开发独立验证码服务（支持图片验证码） 构建微信认证服务（包含令牌获取、用户信息同步）
Day12-06.登录校验-JWT令牌-介绍
m0_63464979的博客
06-24 483
1.JWT：1.全称：JSON Web Token(https://jwt.io/)2.定义了一种简洁的、自包含的格式，用于在通信双方以json数据格式安全的传输信息。由于数字签名的存在，这些信息时可靠的。​ 1.简洁：这个jwt就是一个简单的字符串，我们可以在请求参数或者是请求头当中直接来传递这个gwt令牌​ 2.自包含：gwt看似是一个随机的字符串，但是我们可以根据自身需求，在gwt令牌当中存储自定义的内容的。比如我可以直接在这个gwt令牌当中来存储用户的相关信息。
day10--认证授权
2201_75550069的博客
07-21 781
本文介绍了认证授权模块的技术实现方案，主要内容包括： 认证授权基础概念：身份认证验证用户身份合法性，用户授权控制资源访问权限； OAuth2协议应用：采用授权码模式实现微信扫码登录，密码模式用于前端访问微服务； JWT令牌技术：通过JWT实现无状态认证，解决传统session认证的性能问题； 架构设计：网关负责统一认证（校验JWT合法性和白名单管理），微服务负责具体授权； 技术实现：基于Spring Security和OAuth2构建认证服务，使用JWTTokenStore存储令牌，网关通过过滤器实现统一认
Day 28 JWT认证相关
A1L__的博客
11-17 1091
Day 28 JWT认证相关 一、JWT 在用户注册或登录后，我们想记录用户的登录状态，或者为用户创建身份认证的凭证，我们不再shiyongsession认证机制，而使用Json Web Token认证机制。 Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服
ES6 day-04 身份认证
BXY369的博客
09-05 887
目前主流的 Web 开发模式有两种，分别是:基于服务端渲染的传统 Web 开发模式基于前后端分离的新型 Web 开发模式。
OAuth2与JWT认证授权详解及应用实例
qq_53152589的博客
05-15 321
JWT是一种紧凑、自包含的方式，用于在各方之间安全地传输信息。JWT由三部分组成：头部、载荷和签名。
Day246.编码实现资源服务器、认证&资源服务器分离、认证资源服务器整合JWT、Client信息持久化存储 -springsecurity-jwt-oauth2
阿昌爱Java
04-13 779
1.编码实现资源服务器 一、“合二为一”还是“分而治之” 合二为一：我们可以将认证服务器AutherizationServer和资源服务器ResourceServer定义到同一个SpringBoot应用中。这种方式的好处在于：Token信息存在内存中，二者都可以使用，认证服务器发放AccessToken，并将其保存在内存里面；资源服务器可以获取内存中的AccessToken，进行资源的访问鉴权。 分而治之：就是将资源服务器ResourceServer与认证服务器AutherizationServer分成两
django-ninja jwt
04-16
### 集成JWT认证到Django-Ninja 在现代Web开发中，JSON Web Tokens (JWT) 是一种广泛使用的身份验证机制。对于 `django-ninja` 这一轻量级API框架来说，集成JWT可以显著增强其安全性并简化用户会话管理。 #### ...
gateway和jwt网关认证实现过程解析
08-25
public static final int TOKEN_REDIS_EXPIRATION_DAY = 7; public static String generateToken(String userId) { Calendar calendar = Calendar.getInstance(); calendar.add(Calendar.MINUTE, TOKEN_...
c语言学习回顾 数组和函数实践：扫雷游戏
最新发布
09-03
以c语言来实现一个扫雷游戏，在代码中有注释来介绍各个函数的名称以及作用，并且也有自己在写代码过程中的总结、许多注意事项、扫雷每个板块的逻辑以及为什么要这样去写，都在代码中的注释里详细说明了，免费下载，供大家来参考
通过Windows_DCOM接口无需认证枚举网卡信息的内网渗透工具_利用135端口开放漏洞快速扫描多网卡主机_提升内网渗透效率与主机定位能力_支持单IP和CIDR网络范围扫描_多线.zip
09-03
通过Windows_DCOM接口无需认证枚举网卡信息的内网渗透工具_利用135端口开放漏洞快速扫描多网卡主机_提升内网渗透效率与主机定位能力_支持单IP和CIDR网络范围扫描_多线.zip
农业信息智能化种植-农业信息智能化种植系统-农业信息智能化种植系统源码-农业信息智能化种植管理系统-农业信息智能化种植管理系统java代码-农业信息智能化种植系统设计与实现-基于ssm的农业信息智能化
09-03
农业信息智能化种植-农业信息智能化种植系统-农业信息智能化种植系统源码-农业信息智能化种植管理系统-农业信息智能化种植管理系统java代码-农业信息智能化种植系统设计与实现-基于ssm的农业信息智能化种植系统-基于Web的农业信息智能化种植系统设计与实现-农业信息智能化种植网站-农业信息智能化种植网站代码-农业信息智能化种植平台-农业信息智能化种植平台代码-农业信息智能化种植项目-农业信息智能化种植项目代码-农业信息智能化种植代码
ssm478基于Vue的量化积分管理系统+vue.zip
09-03
本项目是基于Vue的量化积分管理系统，旨在为用户提供一个高效、便捷的积分管理平台。系统采用Vue.js作为前端框架，结合后端技术实现数据的实时处理与展示。主要功能包括用户积分的记录、查询、统计及兑换，支持多种积分规则配置，满足不同场景下的积分管理需求。系统界面简洁直观，操作流程清晰，用户可以轻松完成积分的增减操作，同时提供数据可视化图表，帮助管理者快速掌握积分使用情况。此外，系统还具备权限管理功能，确保不同角色的用户能够访问相应的数据。通过该系统，用户能够更高效地管理积分资源，提升用户体验，同时为企业的积分营销策略提供有力支持。毕设项目源码常年开发定制更新，希望对需要的同学有帮助。
视觉信息过载背景下互联网营销设计的趋势与策略.docx
09-03
视觉信息过载背景下互联网营销设计的趋势与策略.docx
dnSpy 32位和64位V6.1.8
09-03
dnSpy是目前业界广泛使用的一款.NET程序的反编译工具，支持32位和64位系统环境。它允许用户查看和编辑.NET汇编和反编译代码，以及调试.NET程序。该工具通常用于程序开发者在维护和调试过程中分析程序代码，尤其在源代码丢失或者无法获取的情况下，dnSpy能提供很大的帮助。 V6.1.8版本的dnSpy是在此系列软件更新迭代中的一个具体版本号，代表着该软件所具备的功能与性能已经达到了一个相对稳定的水平，对于处理.NET程序具有较高的可用性和稳定性。两个版本，即32位的dnSpy-net-win32和64位的dnSpy-net-win64，确保了不同操作系统架构的用户都能使用dnSpy进行软件分析。 32位的系统架构相较于64位，由于其地址空间的限制，只能支持最多4GB的内存空间使用，这在处理大型项目时可能会出现不足。而64位的系统能够支持更大的内存空间，使得在处理大型项目时更为方便。随着计算机硬件的发展，64位系统已经成为了主流，因此64位的dnSpy也更加受开发者欢迎。 压缩包文件名“dnSpy-net-win64.7z”和“dnSpy-net-win32.7z”中的“.7z”表示该压缩包采用了7-Zip压缩格式，它是一种开源的文件压缩软件，以其高压缩比著称。在实际使用dnSpy时，用户需要下载对应架构的压缩包进行解压安装，以确保软件能够正确运行在用户的操作系统上。 dnSpy工具V6.1.8版本的发布，对于.NET程序员而言，无论是32位系统还是64位系统用户，都是一个提升工作效率的好工具。用户可以根据自己计算机的操作系统架构，选择合适的版本进行下载使用。而对于希望进行深度分析.NET程序的开发者来说，这个工具更是不可或缺的利器。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值