JWT解析失败或exp校验总过期，先检查服务端与客户端时钟同步及时间戳单位是否为秒级；Flask拦截器需豁免登录路径、规范提取Bearer Token、显式启用verify_exp并设合理leeway；权限校验须在token合法后从payload取roles等字段，统一用list格式避免类型不匹配。
JWT解析失败或exp校验总过期？先检查时钟同步和时间戳单位
本地开发环境 JWT 总提示 Token is expired，但明明刚生成的——大概率是服务端和客户端系统时间差超过 exp 容忍窗口（默认通常 60 秒）。Python 的 PyJWT 默认用 time.time() 做时间比对，它依赖系统时钟；若 Docker 容器没挂载宿主机时间、或测试机时钟漂移严重，就会误判。
-
jwt.decode()默认不校验nbf和exp，必须显式传options={"verify_exp": True} - 确保传入的
leeway参数合理，比如leeway=10（秒），避免毫秒级误差导致误拒 - 不要手动用
datetime.utcnow().timestamp()去比对exp字段值——exp是 int 类型 Unix 时间戳（秒级），不是毫秒 - 若用
datetime.fromtimestamp()调试，注意时区：UTC 时间戳应配tz=timezone.utc，否则本地时区转换会出错
用Flask写拦截器时，before_request里怎么安全提取并验证JWT
别在 before_request 里裸调 jwt.decode() 然后直接抛异常——这会让所有请求（包括登录接口）都被拦住。得先判断路径是否豁免，再从 Authorization Header 提取 token，最后才解码校验。
- Header 格式必须是
"Bearer xxx"，用request.headers.get("Authorization")取值后，要.split(" ", 1)拆分，避免空格多导致索引错误 - 解码时固定指定
algorithms=["HS256"]，不传algorithms=None，防止算法切换攻击（如none算法漏洞） - 密钥必须从配置读取（如
current_app.config["JWT_SECRET_KEY"]），禁止硬编码字符串 - 捕获
jwt.ExpiredSignatureError、jwt.InvalidTokenError、jwt.DecodeError三类异常，分别返回 401 或 400，别让堆栈暴露到响应体
role字段权限校验为什么总不生效？看JWT payload结构和校验位置
JWT 里的角色信息如果存在 roles、scope、permissions 甚至 http://schemas.microsoft.com/ws/2008/06/identity/claims/role 这种 OIDC 风格字段，Flask 拦截器不会自动识别——你得自己从 decoded_token 字典里取，而且得确认字段名和类型。
- 常见坑：前端传的是字符串
"admin"，后端却按列表["admin"]去in判断，结果永远 False - 权限校验逻辑不能放在
decode()之后立刻做，得等 token 本身合法（签名、时效、issuer 等都通过）再查decoded_token.get("role")或decoded_token.get("roles", []) - 若用 RBAC，建议统一用
roles字段存 list，避免单值/多值混用；校验时用set(required_roles) 更可靠 - 不要在每次请求都查数据库比对角色——token 里该带的权限就该带全，除非是动态权限（那得另加缓存层）
为什么PyJWT升级到 2.0+ 后拦截器突然报InvalidAlgorithmError？
PyJWT 2.0 开始默认禁用 none 算法，并且 decode() 不再自动推断算法，必须显式声明 algorithms 参数。老代码如果只传 key 没传 algorithms，就会直接崩。
立即学习“Python免费学习笔记（深入）”；
- 升级后必须补上
algorithms=["HS256"]（或你实际用的算法），否则抛InvalidAlgorithmError: Algorithm not supported -
jwt.encode()的algorithm参数默认仍是"HS256"，但decode()不再“猜”，这是安全加固，不是 bug - 如果你用 RSA 公私钥，
algorithms得写成["RS256"]，且key必须是 PEM 格式字符串或Path对象，不能是 bytes - 别用
PyJWT==1.7.1锁版本来绕过——它有已知 CVE，正确做法是按新 API 改代码
