API Token 安全入门指南：从生成到验证的最佳实践

1次阅读

共计 1880 个字符，预计需要花费 5 分钟才能阅读完成。

API Token 就像一把钥匙，用来证明你有权访问某个 API 服务。它通常是一串随机生成的字符，服务器通过验证这串字符来判断是否允许你的请求通过。

JWT (JSON Web Token)：包含用户信息的自包含令牌，由三部分组成（头部、载荷、签名）
OAuth Token：用于授权第三方应用访问用户数据的令牌
Bearer Token：最简单的形式，就是纯字符串令牌

刚开始使用 API Token 时，很容易犯这些错误：

把 Token 硬编码在代码里（然后不小心上传到 GitHub）
忘记处理 Token 过期的情况
把 Token 存在不安全的地方（比如浏览器的 localStorage）
使用 HTTP 而不是 HTTPS 传输 Token

import secrets
import datetime
import jwt  # 需要安装 PyJWT 库

# 生成安全的随机密钥
SECRET_KEY = secrets.token_urlsafe(32)

# 生成 JWT Token
def generate_token(user_id):
    payload = {
        'user_id': user_id,
        'exp': datetime.datetime.utcnow() + datetime.timedelta(hours=1)  # 1 小时后过期
    }
    return jwt.encode(payload, SECRET_KEY, algorithm='HS256')

# 示例使用
token = generate_token(123)
print(f"生成的 Token: {token}")

客户端在请求头中加入 Token：Authorization: Bearer <your_token>
服务器端验证流程：

from flask import request, jsonify

@app.route('/protected')
def protected():
    auth_header = request.headers.get('Authorization')
    if not auth_header or not auth_header.startswith('Bearer'):
        return jsonify({'error': '未提供 Token'}), 401

    token = auth_header.split(' ')[1]
    try:
        payload = jwt.decode(token, SECRET_KEY, algorithms=['HS256'])
        user_id = payload['user_id']
        # 验证通过，继续处理请求
        return jsonify({'message': '访问成功', 'user_id': user_id})
    except jwt.ExpiredSignatureError:
        return jsonify({'error': 'Token 已过期'}), 401
    except jwt.InvalidTokenError:
        return jsonify({'error': '无效 Token'}), 401