注意之前有个bug，我们加上token校验时候会赛user信息，格式为 {'status': True, 'data': {'username': 'lyl', 'exp': 1654618788}, 'error': None} 所以取username改下下面的方式。
我设置为5秒，就是当token_1过期了，你还能继续使用token_1操作5秒时间
如果将 token 的有效期时间设置过短，到期后用户需要重新登录，过于繁琐且体验感差，这里我将采用服务端刷新 token 的方式来处理。先规定一个时间点，比如在过期前的 2 小时内，如果用户访问了接口，就颁发新的 token 给客户端（设置响应头），同时把旧 token 加入黑名单，在上一篇中，设置了一个黑名单宽限时间，目的就是避免并发请求中，刷新了 token ，导致部分请求失败的情况；同时，我们也要避免并发请求导致 token 重复刷新的情况，这时候就需要上锁了，这里使用了 Redis 来实现，考虑到以后项目中可能会频繁使用锁，在篇头将简单做个封装
HTTP 协议是一种无状态协议，即每次服务端接收到客户端的请求时，都是一个全新的请求，服务器并不知道客户端的历史请求记录；Session 和 Cookie 的主要目的就是为了弥补 HTTP 的无状态特性
前言 当我们账号密码登陆以后，如何确保用户认证是我们每一个 phper 都会遇到的问题，从最开始的 Session 到 Token ，让我们带着求知欲了解一下它。
因为生成jwt，解析jwt这样的行为以后在其它微服务中也会用到，因此我们会抽取成工具。我们把鉴权中心进行聚合，一个工具module，一个提供服务的module
认证是关于验证你的凭据，如用户名/邮箱和密码，以验证访问者的身份。系统确定你是否就是你所说的使用凭据。在公共和专用网络中，系统通过登录密码验证用户身份。身份认证通常通过用户名和密码完成，有时与认证可以不仅仅通过密码的形式，也可以通过手机验证码或者生物特征等其他因素。
当我们账号密码登陆以后，如何确保用户认证是我们每一个 phper 都会遇到的问题，从最开始的 Session 到 Token ，让我们带着求知欲了解一下它。
Flask可以搭建轻量服务api，而且使用python语言编写程序，非常方便。以前也使用过php做服务器后端，但是不喜欢php的$，而且我想多学学python，没想到Flask框架恰好能满足我的需求，简直是一个神器！特别适合我这种非计算机专业人士学习，能快速搭建api，为前端web、微信小程序等提供api服务，非常nice，爱了爱了
HTTP 协议是一种无状态协议，即每次服务端接收到客户端的请求时，都是一个全新的请求，服务器并不知道客户端的历史请求记录；Session 和 Cookie 的主要目的就是为了弥补 HTTP 的无状态特性。
6.2 WEB APP项目每次请求后台数据时(将JWT令牌从请求头中带过来)， 验证通过，刷新JWT，并保存在响应头返回给客户端，有效时间30分钟
Django中其实提供了用户模型类User保存用户的数据，让我们先来看一下自带的模型类都包含了些什么：
b.刷新时间,刷新时间指的是在这个时间内可以凭旧 token 换取一个新 token。例如 token 有效时间为 60 分钟，刷新时间为 20160 分钟，在 60 分钟内可以通过这个 token 获取新 token，但是超过 60 分钟是不可以的，然后你可以一直循环获取，直到总时间超过 20160 分钟，不能再获取。 这里要强调的是，是否在刷新期可以一直用旧的token获取新的token，这个是由blacklist_enabled这个配置决定的，这个是指是否开启黑名单，默认是开启的，即刷新后，旧token立马加入黑名单，不可在用。
虽然本人现在从事前端开发，但是之前一直是 PHP 全栈，所以对前后端鉴权机制也有一定的了解，就找些资料简单记录一下吧。(瞎掰扯～)
JWT就是一段字符串, 由三段信息构成, 三段信息文本使用.(点) 拼接就构成了JWT字符串 :
JWT官网： https://jwt.io/ JWT(Java版)的github地址:https://github.com/jwtk/jjwt
上一篇用shiro来登入存在用户认证的问题，而又不想用cookie session，所以决定使用jwt来做用户认证
上一节介绍了前端网络的基础用法，已经秒杀了fetch与xhr用法，但是实际在前端发送这些请求的时候，难免会遇到一些莫名其妙的报错，在别人网站正常请求的服务器地址，在你的网站里面就不行了，我用APIfox，postman或者vscode的rest client发送请求就一切正常，这是怎么回事？
easy_auth的意思是简单的身份验证，题目描述admin在todo上记录了重要内容即flag，考察的是网页登录使用JWT鉴权的知识，当Token的signature采用弱校验方式也就是secrect为空时出现漏洞。
Bearer token 组成：Header、payload（载荷）、Signature(签名) Header.Payload.Signature
1、项目一开始我先封装了一个JWTHelper工具包，主要提供了生成JWT、解析JWT以及校验JWT的方法，其他还有一些加密相关操作，后面我会以代码的形式介绍下代码。工具包写好后我将打包上传到私服，能够随时依赖下载使用；
官方文档是这样解释的：JSON Web Token（JWT）是一个开放标准（RFC 7519），它定义了一种紧凑且独立的方式，可以在各方之间作为JSON对象安全地传输信息。此信息可以通过数字签名进行验证和信任。JWT可以使用秘密（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。 虽然JWT可以加密以在各方之间提供保密，但只将专注于签名令牌。签名令牌可以验证其中包含的声明的完整性，而加密令牌则隐藏其他方的声明。当使用公钥/私钥对签署令牌时，签名还证明只有持有私钥的一方是签署私钥的一方。
许多语言在网络编程模块都会实现会话机制，即 session。利用 session，我们可以管理用户状态，比如控制会话存在时间，在会话中保存属性等。其作用方式通常如下：
geturl() { axios.get('http://localhost:8000/api/geturl').then((response) => { console.log(response.headers) this.v_hrefs = response.data.all_href; }).catch(err => { console.log('操作失败' + err); }) }
我们的项目是一个B2C模式的电商网站，采用的是前后端分离开发模式。前端主要使用vue.js开发，后端则主要使用DRF框架。
前一篇已经简单介绍了下Ajax的用法了(只是简单的GET请求)，下面就来捣鼓下Ajax的其他内容
cookie，session，token作为面试必问题，很多同学能答个大概，但是又迷糊不清，希望本篇文章对大家有所帮助
云原生（Cloud Native）Node JS Express Reactive 微服务模板 (REST/GraphQL) 这个项目提供了完整的基于 Node JS / Typescript 的微服务模板，包括生产部署、监控、调试、日志记录、安全、CI/CD 所需的所有功能。还添加了基于响应性扩展的示例，以演示如何将其用于构建微服务 API 边缘服务（edge-service）、前端的后端（BFF）或将其用作构建任何类型微服务的基础。
可问题是，客户端和服务器的传输使用的是http协议，http协议是无状态的，什么叫无状态，就是服务器不知道这一次请求的人，跟之前登录请求成功的人是不是同一个人
HTTP 是一种 超文本传输协议(Hypertext Transfer Protocol)，HTTP 是一个在计算机世界里专门在两点之间传输文字、图片、音频、视频等超文本数据的约定和规范
我们在学习web知识的时候就已经学过了状态码的相关知识，我们知道这是服务器给我的相关反馈，我们在学习的时候就被教育说应该将真实情况反馈给客户端，但是在爬虫中，可能该站点的开发人员或者运维人员为了阻止数据被爬虫轻易获取，可能在状态码上做手脚，也就是说返回的状态码并不一定就是真实情况，比如:服务器已经识别出你是爬虫，但是为了让你疏忽大意，所以照样返回状态码200，但是响应体重并没有数据。
在介绍鉴权方法之前，我们先要了解的是：什么是认证、授权、鉴权、权限控制以及他们之间的关系，有了他们做铺垫，那么我们才能做到从始至终的了解透彻 ~
欢迎阅读Spring Security 实战干货系列。点击原文阅读进入系列。之前我讲解了如何编写一个自己的 Jwt 生成器以及如何在用户认证通过后返回 Json Web Token 。今天我们来看看如何在请求中使用 Jwt 访问鉴权。DEMO 获取方法在文末。
JSON Web Token（JWT）是目前最流行的跨域身份验证解决方案之一，今天我们一起来揭开它神秘的面纱！
根据上图可以看到，从用户请求发起，到服务端完成操作，流程颇多，但是HTTP无状态，我们如何才能详细记录这些操作过程并加以严格的权限判断控制，接下来就开始今天的主题！
What the caterpillar calls the end, the rest of the world calls a butterfly
在不使用JWT的情况下，我们一般选择的是cookie和session来进行服务鉴权（判断是否登录，是否具有某种权限），但是这是针对于只有一个客户端的情况下，现在客户端从pc端增长到了app端，现在就是多端访问了。
先问小伙伴们一个问题，登录难吗？“登录有什么难得？输入用户名和密码，后台检索出来，校验一下不就行了。”凡是这样回答的小伙伴，你明显就是产品思维，登录看似简单，用户名和密码，后台校验一下，完事了。但是，登录这个过程涵盖的知识点是非常多的，绝不是检索数据，校验一下这么简单的事。
1 能够有选择地过滤没有权限(Token)的请求 2 Token 具有时效性 3 如果用户连续操作,Token 能够自动刷新(自动延长有效期)
HTTP 是无状态的。也就是说，HTTP 请求方和响应方间无法维护状态，都是一次性的，它不知道前后的请求都发生了什么。但有的场景下，我们需要维护状态。最典型的，一个用户登陆微博，发布、关注、评论，都应是在登录后的用户状态下的。这种情况下，各种鉴权就应运而生了。
HttpEntity的典型应用是配合RestTemplate，在微服务项目中的应用（参见API示例） 用户登录示例： 步骤一：在login.jsp发送ajax请求，发送之前添加请求头信息
不知不觉也写得比较长了，一次看不完建议收藏夹！本文主要解释与请求状态相关的术语（cookie、session、token）和几种常见登录的实现方式，希望大家看完本文后可以有比较清晰的理解，有感到迷惑的地方请在评论区提出。
本文介绍了如何用Node.js开发一个RESTful API，包括使用Express、Koa、Prisma、Sequelize等框架，以及如何处理数据库、文件上传、认证、授权、API版本控制等实际问题。此外，文章还探讨了如何为API编写详细的文档，包括API规范、文档、测试、部署等方面。最后，作者还分享了一些实用的开发工具和技巧，以帮助开发者提高开发效率。
jwt认证分为两部分，第一部分是加密解密，第二部分是灵活的应用于中间件，我的处理方式是将获取token放到api的一个具体的controller中，将发放token与验证分离，token的失效时间，发证者，使用者等信息存放到config中。
在《ApiPost环境变量之第1课》里，我们介绍了什么是ApiPost环境变量，并如何定义、使用它。
6.QQ服务器响应时让客户端重定向访问callback回调网址，并携带code和state参数。
领取专属 10元无门槛券
手把手带您无忧上云
