最常见原因是Flask-JWT-Extended默认仅从Authorization: Bearer <token>请求头提取token，若前端漏传Bearer前缀、误用header名或未配置JWT_TOKEN_LOCATION支持cookie/query，则验证失败；同时需确保JWT_SECRET_KEY全局一致且token未过期。
为什么用 create_access_token 生成的 token 无法被 jwt_required 验证？
最常见原因是 Flask-JWT-Extended 默认从请求头的 Authorization: Bearer <token> 提取 token，但前端发请求时漏了 Bearer 前缀，或用了错误的 header 名（比如写成 X-Auth-Token）。Flask-JWT-Extended 不会自动 fallback 到 cookie 或 query 参数——除非你显式配置。
- 检查前端是否发送了正确格式的 header：
Authorization: Bearer eyJ...（完整 token） - 确认未误设
JWT_TOKEN_LOCATION—— 默认是['headers']，若想同时支持 cookie，需手动设为['headers', 'cookies'] -
create_access_token返回的是纯字符串，不是 HTTP 响应；你需要自己把它放进 JSON 响应里，例如return jsonify(access_token=token)
如何让 @jwt_required() 在非 API 路由（如 HTML 页面）中生效？
Flask-JWT-Extended 的 @jwt_required() 默认只处理 JSON 请求，并在验证失败时返回 JSON 错误（如 {"msg": "Missing Authorization Header"}）。如果你用它保护返回 HTML 的路由（比如 /dashboard），用户会看到一个难看的 JSON 错误页，而不是跳转登录页。
- 改用
@jwt_required(optional=True)+ 手动检查get_jwt_identity()，再做重定向逻辑 - 或者直接用
verify_jwt_in_request(optional=True)捕获异常，自行处理：如果没 token 或无效，return redirect('/login') - 注意：cookie 模式下需额外配置
JWT_COOKIE_SECURE=True（生产环境必须）、JWT_COOKIE_CSRF_PROTECT=True（启用 CSRF 保护），否则 cookie token 会被浏览器拒绝发送
get_jwt() 和 get_jwt_identity() 返回值有什么区别？
get_jwt_identity() 只返回你在 create_access_token(identity=...) 里传入的那个值（通常是 user id 或 username），类型就是你给的原始类型（int、str 等）；而 get_jwt() 返回完整的 JWT payload 字典，包含 exp、jti、type 等元信息，也包括你通过 additional_claims 注入的字段。
- 需要判断用户角色？用
get_jwt().get('role')（前提是创建 token 时加了additional_claims={'role': 'admin'}） - 需要快速获取用户 ID 做数据库查询？直接用
get_jwt_identity()更安全简洁 - 不要在
get_jwt_identity()返回None时假设 token 无效——它只在 token 有效且含identity字段时才返回值；无效 token 会提前触发异常，进不到这步
为什么本地开发时 token 总是提示 “Signature verification failed”？
这几乎一定是密钥不一致导致的：Flask-JWT-Extended 使用 JWT_SECRET_KEY（或 JWT_PRIVATE_KEY/JWT_PUBLIC_KEY）签名和验签。开发中常犯两个错——要么重启 Flask 后没重置密钥，要么在多个地方（如 config.py、.env、代码内硬编码）写了不同值。
立即学习“Python免费学习笔记（深入）”；
- 确保
app.config['JWT_SECRET_KEY']在整个应用生命周期中**只设置一次**，且前后端共用同一值 - 别用
os.urandom(24)动态生成密钥——每次启动都变，旧 token 全部失效 - 使用 RSA 时，
JWT_PRIVATE_KEY必须是 PEM 格式私钥（以-----BEGIN PRIVATE KEY-----开头），且JWT_PUBLIC_KEY必须严格匹配该私钥对应的公钥；用openssl rsa -in priv.pem -pubout生成公钥
JWT_TOKEN_LOCATION 是否匹配传输方式。 
