Claude Code Token 实现原理与最佳实践：从技术科普到生产落地

1次阅读

共计 1976 个字符，预计需要花费 5 分钟才能阅读完成。

在分布式系统中，身份认证一直是个棘手的问题。传统的 Session 机制在单体应用时代工作得很好，但到了微服务架构中，问题就暴露出来了：

Session 共享问题 ：用户登录后，Session 通常存储在单个服务的内存中。当请求被负载均衡到不同节点时，其他节点无法识别这个 Session，导致用户需要重新登录。
服务端状态维护成本 ：随着用户量增长，Session 存储会消耗大量服务器内存。更糟的是，为了实现 Session 共享，我们不得不引入 Redis 等分布式缓存，增加了系统复杂度。

技术	安全性	扩展性	跨域支持	状态管理
Cookie	中	差	有限	有状态
Session	中	差	不支持	有状态
JWT	高	优秀	支持	无状态
OAuth2	高	优秀	支持	可配置

Claude Code Token 基于 JWT 标准，包含三部分：

Header：指定算法和类型
```
{
  "alg": "HS256",
  "typ": "JWT"
}
```

Payload：包含用户声明 (claims)

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}

Signature：对前两部分 Base64 编码后进行签名

接收 Token 并分割三部分
重新计算 Header 和 Payload 的签名
比较计算签名与 Token 中的签名
验证时间有效性 (exp/iat)

import os
import time
import jwt
from datetime import datetime, timedelta

SECRET_KEY = os.getenv('TOKEN_SECRET', 'default-secret')

def generate_token(user_id: str) -> str:
    payload = {
        'sub': user_id,
        'iat': datetime.utcnow(),
        'exp': datetime.utcnow() + timedelta(minutes=30)
    }
    # 使用 HMAC-SHA256 算法
    return jwt.encode(payload, SECRET_KEY, algorithm='HS256')

def verify_token(token: str) -> dict:
    try:
        # 防御时序攻击：无论验证是否通过，都执行完整运算
        payload = jwt.decode(
            token, 
            SECRET_KEY, 
            algorithms=['HS256'],
            options={'verify_exp': True}
        )
        return payload
    except jwt.PyJWTError:
        return None

def refresh_token(token: str) -> str:
    payload = verify_token(token)
    if not payload:
        return None

    # 只允许在到期前 5 分钟内刷新
    if payload['exp'] - time.time() > 300:
        return None

    return generate_token(payload['sub'])

访问 Token：15-30 分钟 (高安全)
刷新 Token：7 天 (配合黑名单)

# Redis 黑名单示例
import redis

r = redis.Redis(host='redis', port=6379)

def add_to_blacklist(token: str, expire: int):
    jti = jwt.decode(token, verify=False).get('jti')
    if jti:
        r.setex(f'blacklist:{jti}', expire, '1')

# 验证时检查
if r.exists(f'blacklist:{jti}'):
    raise InvalidTokenError