直接用PyJWT更可控轻量，因Flask-JWT已停更、Flask-JWT-Extended依赖重且默认行为多；真实项目通常只需签发、校验、提取payload三步，PyJWT满足核心需求且堆栈清晰。
为什么直接用 PyJWT 而不是 Flask-JWT 或 Flask-JWT-Extended？
Flask 本身不内置 Token 鉴权逻辑，Flask-JWT 已停止维护，Flask-JWT-Extended 功能全但依赖重、默认行为多（比如自动注入 current_user、强制用 Redis 存黑名单），容易在简单场景里绕晕。多数真实项目只需要「签发 + 校验 + 提取 payload」三步，用原生 PyJWT 更可控、更轻、出错时堆栈干净。
关键点：JWT 本质是签名字符串，Flask 只需负责解析它、验证签名和过期时间，其余（如用户查库、权限判断）应由你自己的逻辑决定，别指望框架替你做决策。
如何安全生成和返回 JWT Token？
Token 必须包含必要字段（exp、iat、sub），密钥不能硬编码或用弱随机源。生产环境必须用 secrets.token_urlsafe() 或环境变量注入的密钥。
-
exp字段必须设，且建议用datetime.utcnow() + timedelta(hours=1)，别用秒级大整数手算 - 不要把密码、敏感权限字段塞进 payload；只放
user_id或username这类可查库的标识符 - 响应头设
Content-Type: application/json，Token 放 JSON body 里（如{"token": "xxx"}），别塞 Cookie（除非明确需要 httpOnly + CSRF 防护）
示例签发代码：
立即学习“Python免费学习笔记（深入）”；
import jwt
from datetime import datetime, timedelta
<p>SECRET_KEY = "your-secret-key-change-in-prod" # 用 os.getenv("JWT_SECRET")</p><div class="aritcle_card flexRow">
<div class="artcardd flexRow">
<a class="aritcle_card_img" href="/xiazai/skill9386" title="python学习"><img
src="https://img.php.cn/upload/skill/000/000/081/179257684888086.jpg" alt="python学习" ></a>
<div class="aritcle_card_info flexColumn">
<a href="/xiazai/skill9386" title="python学习">python学习</a>
<p>Python 编程学习助手 skill，面向零基础用户。 当用户表达以下意图时触发： - 学习 Python 基础概念（变量、数据类型、循环、函数、类等） - 请求 Python 练习题或测验 - 请求审查或调试 Python 代码 - 请求 Python 项目实战指导（爬虫、数据分析、Web 开发等入门项目） - 泛化表述如"教我 Python""我想学编程""Python 怎么写""帮我学 Python" 此 skill </p>
</div>
<a href="/xiazai/skill9386" title="python学习" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a>
</div>
</div><p>def create_token(user_id: int) -> str:
payload = {
"user_id": user_id,
"iat": datetime.utcnow(),
"exp": datetime.utcnow() + timedelta(hours=1),
}
return jwt.encode(payload, SECRET_KEY, algorithm="HS256")
如何在请求中解析并校验 JWT？
Token 通常从 Authorization: Bearer <token></token> 头读取。校验失败必须返回明确错误（401/403），且不暴露具体原因（比如不区分「过期」和「签名无效」，统一返回 401）。
- 用
jwt.decode()时务必传algorithms=["HS256"]，否则可能被算法混淆攻击（CVE-2015-2951） - 捕获
jwt.ExpiredSignatureError、jwt.InvalidTokenError、jwt.DecodeError三类异常，分别处理 - 不要在
before_request里无条件 decode —— 静态资源、健康检查等路径应跳过校验
示例校验逻辑（装饰器写法）：
from functools import wraps
from flask import request, jsonify
<p>def require_auth(f):
@wraps(f)
def decorated(*args, **kwargs):
auth_header = request.headers.get("Authorization")
if not auth_header or not auth_header.startswith("Bearer "):
return jsonify({"error": "Missing or invalid Authorization header"}), 401</p><pre class="brush:php;toolbar:false;"> token = auth_header[7:]
try:
payload = jwt.decode(token, SECRET_KEY, algorithms=["HS256"])
except jwt.ExpiredSignatureError:
return jsonify({"error": "Token expired"}), 401
except jwt.InvalidTokenError:
return jsonify({"error": "Invalid token"}), 401
request.current_user_id = payload["user_id"]
return f(*args, **kwargs)
return decorated
为什么不能把 JWT 当 Session 用？
JWT 是无状态的，但「无状态」不等于「不可撤销」。一旦签发，服务端无法单方面作废它，直到过期。这意味着：密码改了、账号禁用、权限变更后，旧 Token 依然有效——这是常见线上事故源头。
解决思路只有两个：
- 缩短
exp时间（如 15 分钟），配合前端自动刷新机制（用 Refresh Token 换新 Access Token） - 加一层轻量缓存校验：例如用 Redis 存
user_id: last_password_change_timestamp，每次 decode 后比对 payload 中的iap（上次登录时间戳）是否早于该值
别试图在数据库里存所有已发 Token —— 违背无状态初衷，还拖慢鉴权速度。真正要防的是「被盗 Token 持续使用」，不是「正常用户登出」。
