FastAPI中JWT认证应使用HTTPBearer获取Token并用jwt.decode()校验，密钥须从环境变量读取且确保两端一致；签发时需设exp、sub等字段，用datetime.utcnow()+timedelta；依赖注入get_current_user实现自动校验。
FastAPI里怎么给接口加JWT Token认证
直接用 HTTPBearer + JWT.decode() 就能拦住没Token或过期的请求，但别手写验证逻辑——容易漏掉 aud、iss 校验，也容易把密钥硬编码进代码里。
- 用
fastapi.security.HTTPBearer获取请求头里的Authorization: Bearer xxx，它自动拆出token字符串 - 验证必须用
jwt.decode()，不是jwt.encode()——后者只生成，不校验签名和过期时间 -
algorithms参数必须显式传["HS256"]，否则默认空列表，解码直接抛InvalidAlgorithmError - 密钥建议从环境变量读：
os.getenv("JWT_SECRET_KEY")，别写死在代码里
JWT Token怎么安全生成（含用户ID和过期时间）
生成时漏掉 exp 字段等于发永久通行证，而只用 datetime.utcnow() 不加 timedelta 又会导致 token 一签发就过期。
- 必须传
exp：用datetime.utcnow() + timedelta(hours=1)，别用datetime.now()（时区错乱风险） - payload 至少带
sub（通常放用户ID）和exp，iat可选但建议加上 - 用
jwt.encode(payload, key, algorithm="HS256")，key类型必须是str或bytes，传None会静默失败 - 生成后立刻返回
access_token和token_type: "bearer"，前端才能正确拼接请求头
为什么每次请求都报 InvalidSignatureError
90% 是密钥不一致：签发用的 key 和验证用的 key 看似一样，实则一个是字符串、一个是 bytes，或者前后有空格、换行符。
- 检查
JWT_SECRET_KEY环境变量是否被 shell 自动截断（比如值含$被当成变量替换） - 验证前先
print(repr(key))，确认两边 key 的字节完全一致（注意 \n、\r、空格） - 如果用
pydantic.BaseSettings读配置，确保字段类型是SecretStr并调用.get_secret_value() - 别用
base64.b64encode()对密钥二次编码——jwt.encode()内部不处理 base64，会直接拿原始字节算签名
如何让登录接口返回Token，其他接口自动校验
别在每个路由上重复写 Depends(get_current_user)，用 FastAPI 的依赖注入链就行，但要注意依赖的 scope 和异常处理方式。
立即学习“Python免费学习笔记（深入）”；
- 定义一个
get_current_user依赖函数，返回User模型实例，内部捕获JWTError并 raiseHTTPException(401) - 登录路由用
status_code=200显式设状态码，避免 FastAPI 默认 201 导致前端困惑 - 非登录路由统一加
current_user: User = Depends(get_current_user)，FastAPI 会自动拦截未认证请求 - 如果需要区分「可选认证」和「强制认证」，另写一个
optional_current_user，返回Union[User, None]
最常被忽略的是时钟偏移——服务器和客户端时间差超过 60 秒，exp 和 nbf 校验就会失败。上线前务必校准 NTP 时间，别只在本地测通就认为没问题。
