本文旨在深入探讨 JWT (JSON Web Token) 在访问令牌和刷新令牌场景下的安全应用。重点分析了使用不同密钥对访问令牌和刷新令牌进行签名的重要性，以及 JWT 本身的数据完整性保障机制，并提供了在 FastAPI 等后端框架中安全使用 JWT 的最佳实践建议，帮助开发者构建更安全的身份验证系统。
JWT 安全基础
JWT (JSON Web Token) 是一种用于在各方之间安全地传输信息的开放标准 (RFC 7519)。它通常用于身份验证和授权，通过对 JSON 对象进行签名，保证数据的完整性和真实性。理解 JWT 的安全机制对于正确使用它至关重要。
JWT 的组成部分:
- Header (头部): 包含令牌的类型 (typ) 和所使用的签名算法 (alg)。
- Payload (载荷): 包含声明 (claims)，这些声明是关于用户或其他实体的声明信息。
- Signature (签名): 通过头部指定的算法，使用密钥对头部和载荷进行签名，用于验证令牌的完整性。
JWT 的安全性:
JWT 的安全性依赖于签名算法和密钥的保密性。如果密钥泄露，任何人都可以伪造 JWT。因此，务必妥善保管密钥，并选择安全的签名算法，例如 HMAC SHA256 (HS256) 或 RSA。
访问令牌与刷新令牌
在基于 JWT 的身份验证系统中，通常会使用访问令牌和刷新令牌两种令牌。
- 访问令牌 (Access Token): 用于访问受保护资源的短期令牌。
- 刷新令牌 (Refresh Token): 用于获取新的访问令牌的长期令牌。
为什么需要刷新令牌？
访问令牌的有效期通常较短，以减少令牌泄露造成的风险。当访问令牌过期时，用户无需重新登录，可以使用刷新令牌来获取新的访问令牌，从而提供更好的用户体验。
使用不同的密钥对访问令牌和刷新令牌进行签名
一个关键的安全实践是使用不同的密钥对访问令牌和刷新令牌进行签名。
原因:
- 降低风险: 如果访问令牌的密钥泄露，攻击者只能伪造访问令牌，而无法获取新的访问令牌。
- 增强安全性: 刷新令牌的密钥可以更严格地保护，例如存储在硬件安全模块 (HSM) 中。
实现方法 (FastAPI 示例):
import jwt
import datetime
ACCESS_TOKEN_SECRET_KEY = "your_access_token_secret"
REFRESH_TOKEN_SECRET_KEY = "your_refresh_token_secret"
def create_access_token(data: dict, expires_delta: datetime.timedelta = None):
to_encode = data.copy()
if expires_delta:
expire = datetime.datetime.utcnow() + expires_delta
else:
expire = datetime.datetime.utcnow() + datetime.timedelta(minutes=15)
to_encode.update({"exp": expire})
encoded_jwt = jwt.encode(to_encode, ACCESS_TOKEN_SECRET_KEY, algorithm="HS256")
return encoded_jwt
def create_refresh_token(data: dict, expires_delta: datetime.timedelta = None):
to_encode = data.copy()
if expires_delta:
expire = datetime.datetime.utcnow() + expires_delta
else:
expire = datetime.datetime.utcnow() + datetime.timedelta(days=7)
to_encode.update({"exp": expire})
encoded_jwt = jwt.encode(to_encode, REFRESH_TOKEN_SECRET_KEY, algorithm="HS256")
return encoded_jwt
def verify_access_token(token: str):
try:
payload = jwt.decode(token, ACCESS_TOKEN_SECRET_KEY, algorithms=["HS256"])
return payload
except jwt.ExpiredSignatureError:
return None
except jwt.InvalidTokenError:
return None
def verify_refresh_token(token: str):
try:
payload = jwt.decode(token, REFRESH_TOKEN_SECRET_KEY, algorithms=["HS256"])
return payload
except jwt.ExpiredSignatureError:
return None
except jwt.InvalidTokenError:
return None注意事项:
- 请勿在代码中硬编码密钥，应使用环境变量或配置文件进行管理。
- 定期更换密钥，以提高安全性。
- 考虑使用更安全的签名算法，例如 RS256。
JWT 的数据完整性
JWT 的签名机制保证了数据的完整性。任何对 JWT 载荷的修改都会导致签名验证失败。因此，即使攻击者能够获取到 JWT，也无法修改其中的内容，除非他们拥有签名密钥。
防止刷新令牌被用作访问令牌:
虽然 JWT 保证了数据完整性，但仍然需要防止刷新令牌被误用或恶意地当作访问令牌使用。可以在访问令牌和刷新令牌的载荷中添加不同的声明，例如 token_type，用于区分令牌的类型。
示例:
# 访问令牌载荷
access_token_payload = {
"sub": "user123",
"token_type": "access_token"
}
# 刷新令牌载荷
refresh_token_payload = {
"sub": "user123",
"token_type": "refresh_token"
}在验证令牌时，检查 token_type 声明，确保令牌的类型与预期一致。
总结
安全地使用 JWT 需要理解其基本原理，并采取适当的安全措施。使用不同的密钥对访问令牌和刷新令牌进行签名，并验证令牌的类型，可以有效提高系统的安全性。 此外，定期审查和更新安全策略，以应对新的威胁和漏洞。
