不能只靠python-jose生成JWT，必须用secrets.token_urlsafe(32)等生成≥32字节密钥；Header需为"Authorization: Bearer <token>"；解码须显式指定algorithms并校验exp/sub；服务端时间必须准确。
FastAPI里怎么用python-jose生成JWT Token
直接说结论：不能只靠python-jose生成Token，必须配合secrets.token_urlsafe()或os.urandom()生成安全密钥，且密钥长度要≥32字节（HS256）；否则jwt.encode()会静默失败或抛ValueError: Key length not sufficient for algorithm。
常见错误是随手写个短字符串当SECRET_KEY，比如"mykey"——这在开发环境可能“看似能跑”，但上线后会被python-jose拒绝签名。
-
SECRET_KEY建议用secrets.token_urlsafe(32)生成，存进环境变量 - 算法固定用
HS256最稳妥，RS256需配私钥文件，调试成本高 -
exp字段必须是datetime.utcnow() + timedelta(hours=1)这种datetime对象，传int秒数会报TypeError
示例片段：
from jose import jwt
from datetime import datetime, timedelta
<p>SECRET_KEY = "your-32-byte-secret-here" # 实际用 secrets.token_urlsafe(32)
ALGORITHM = "HS256"</p><p>def create_access_token(data: dict):
to_encode = data.copy()
expire = datetime.utcnow() + timedelta(minutes=30)
to_encode.update({"exp": expire}) # 注意是 datetime 对象
return jwt.encode(to_encode, SECRET_KEY, algorithm=ALGORITHM)
为什么Depends(OAuth2PasswordBearer)总返回401
根本原因不是Token无效，而是Header格式不对：Authorization: Bearer <token>里Bearer必须大写首字母，且中间有空格；写成bearer、Bearer:或漏空格都会触发401。
立即学习“Python免费学习笔记（深入）”；
另一个高频坑是前端发请求时没加Authorization Header，或者用localStorage取错字段名（比如存的是token，却读auth_token）。
图片提示词生成器？不止如此。 马甲系统 —— 把脑海中的画面，翻译成AI能理解的专业表达。 用得越多，它越懂你：首次需要多问几句确认方向，用久了几乎一说就懂。 用得越多，它越快：缓存机制让后续对话越来越省。 RAG进化：成功案例持续入库，越跑越聪明。 输入「新手指南」查看完整功能介绍
- FastAPI默认要求Header名是
Authorization，值必须匹配Bearer\s+.+正则 - 若用Postman测试，选
AuthorizationTab → Type选Bearer Token，别手输 - 自定义scheme名（如
OAuth2PasswordBearer(tokenUrl="login")）不影响Header校验逻辑
jwt.decode()抛ExpiredSignatureError怎么查
这不是Token被篡改，而是服务端时间比签发时间快/慢超过leeway容忍窗口（默认0秒）。典型场景：Docker容器没同步宿主机时间、服务器NTP未开启、本地开发机休眠后时间跳变。
临时解决可用leeway=10（单位秒），但治标不治本；生产环境必须确保系统时间准确。
- 检查服务器时间：
date -R和timedatectl status -
jwt.decode()里显式传leeway参数，例如leeway=timedelta(seconds=10) - 避免用
datetime.now()校验，统一用datetime.utcnow()（JWT标准要求UTC时间）
用户信息怎么从Token里安全提取出来
别直接jwt.decode(token, key, algorithms=["HS256"])就完事——这会跳过所有验证（比如exp、iat）。必须显式指定algorithms参数，且不能用None或通配符。
更关键的是：解码后务必校验sub字段是否存在、是否为字符串、是否对应有效用户ID；否则攻击者可伪造任意sub绕过权限控制。
- 推荐封装一个
get_current_user依赖函数，内部做try/except捕获JWTError子类 - 不要信任Token里的
role字段做鉴权，应查数据库确认用户当前权限（防止Token长期有效导致权限变更失效） - 敏感接口建议每次请求都查DB，非敏感接口可用Redis缓存用户角色（TTL设为Token有效期的1/2）
时间偏移、密钥长度、Header格式、字段校验——这四个点卡住90%的JWT接入问题。其他都是细节。
