前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >JWT 的 Token 过期时间为什么没有生效

JWT 的 Token 过期时间为什么没有生效

作者头像
somenzz
发布2021-10-08 14:49:29
2.2K0
发布2021-10-08 14:49:29
举报
文章被收录于专栏:Python七号Python七号

在我第一次在 DRF(Django REST Framework)中使用 JWT 时,感觉 JWT 非常神奇,它即没有使用 session、cookie,也不使用数据库,仅靠一段加密的字符串,就解决了用户身份验证的烦恼。

直到我遇到了一个当时百思不得解的问题,才揭开了它的神秘面纱。

当时遇到的问题就是,无论怎么设置 JWT TOKEN 的过期时间,都没有生效,即使设置为 1 秒后过期,过了 1 分钟,TOKEN 还是可以正常使用,重启 Django 服务也不行。

没有别的办法,我就硬着头皮去追着源码,看看 JWT 是怎么判断 TOKEN 是否过期的。

具体的方法就是,深度优先追溯 JWT 代码的源头。在 DRF 中,配置了 DEFAULT_AUTHENTICATION_CLASSES 就是 JWT:

直接定位至这个类,发现它继承了 BaseJSONWebTOKENAuthentication

然后看 BaseJSONWebTOKENAuthentication,发现有一段判断过期的逻辑:

继续展开 jwt_decode_handler 这个函数,发现它调用了 jwt.decode 函数

展开 jwt.decode 函数,发现它调用了函数 _validate_claims

函数 _validate_claims 又调用了 _validate_exp

然后展开 _validate_exp,找到了这段:

发现过期时间 exp 来自 payload,payload 又来自 TOKEN 本身:

至此谜底揭开,原来,TOKEN 的过期时间其实被编码在了 TOKEN 本身,服务器收到 TOKEN 时先进行解码,解码出过期时间,然后和当前时间进行对比,如果当前时间比较小,说明没有过期,TOKEN 就是有效的,否则返回客户端 "Signature has expired."

我 Debug 出了这个 TOKEN 的过期时间 exp,发现这个 exp 是修改 JWT_EXPIRATION_DELTA 之前的那个过期时间,原来修改 JWT_EXPIRATION_DELTA 之后需要重新生成 TOKEN,这样的过期时间才会按照新的来。

至此,JWT 的原理已经非常清晰了:

用户第一次登录时,服务器(JWT)会获得用户名、用户 id,在加上设置的过期时间构建 payload:

代码语言:javascript
复制
payload = {
        'user_id': user.pk,
        'username': username,
        'exp': datetime.utcnow() + api_settings.JWT_EXPIRATION_DELTA
    }

然后将 payload 用设置好的算法使用私钥加密成 token

代码语言:javascript
复制
def jwt_encode_handler(payload):
    key = api_settings.JWT_PRIVATE_KEY or jwt_get_secret_key(payload)
    return jwt.encode(
        payload,
        key,
        api_settings.JWT_ALGORITHM
    ).decode('utf-8')

token 返回至客户端后,客户端缓存该 token,然后每一次请求时都带上该 token。

服务器在收到请求时先验证该 token,验证的过程就是对 token 进行逆向解码:

代码语言:javascript
复制
def jwt_decode_handler(token):
    options = {
        'verify_exp': api_settings.JWT_VERIFY_EXPIRATION,
    }
    # get user from token, BEFORE verification, to get user secret key
    unverified_payload = jwt.decode(token, None, False)
    secret_key = jwt_get_secret_key(unverified_payload)
    return jwt.decode(
        token,
        api_settings.JWT_PUBLIC_KEY or secret_key,
        api_settings.JWT_VERIFY,
        options=options,
        leeway=api_settings.JWT_LEEWAY,
        audience=api_settings.JWT_AUDIENCE,
        issuer=api_settings.JWT_ISSUER,
        algorithms=[api_settings.JWT_ALGORITHM]
    )

解密使用同样的算法,使用公钥或私钥进行解密,解密成功且不过期,则认为用户有权限访问,正常返回。

最后

这个问题至少花了我半个小时的时间,如果你遇到这种情况,能瞬间明白其中缘由,那本文的目的就达到了。

源码之下无秘密,遇到问题,去看源码可能不是解决问题最快的方法,却是提升自己最快的方法。很多开源软件设计模式的应用都非常值得我们学习,比如 DRF 的模块设计,通过 mixins 组合来实现灵活可扩展的 APIView,通过子类传入相关的 class 来实现用户自定义的功能。如何写出灵活可扩展、高内聚低耦合、符合开闭原则的程序,阅读开源代码,是一个非常高效的学习方式。

当然了,这需要先对设计模式有一个系统的学习,让自己有一双慧眼,不然就是守着金山不自知。

如果有帮助,欢迎点赞、在看、关注

本文参与 腾讯云自媒体分享计划,分享自微信公众号。
原始发表:2021-09-28,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 Python七号 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体分享计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • 至此,JWT 的原理已经非常清晰了:
  • 最后
相关产品与服务
多因子身份认证
多因子身份认证(Multi-factor Authentication Service,MFAS)的目的是建立一个多层次的防御体系,通过结合两种或三种认证因子(基于记忆的/基于持有物的/基于生物特征的认证因子)验证访问者的身份,使系统或资源更加安全。攻击者即使破解单一因子(如口令、人脸),应用的安全依然可以得到保障。
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档