OAuth2PasswordBearer仅提取Bearer Token，不校验合法性、有效期或签发者；真正解析验证需手动调用jwt.decode()并显式配置algorithms、verify_exp等参数，否则存在安全漏洞。
JWT鉴权为什么不能只靠 OAuth2PasswordBearer？
因为 OAuth2PasswordBearer 只负责从请求头提取 Authorization: Bearer xxx，它不校验 token 是否合法、是否过期、签发者是否可信。真正做解析和验证的是你后续手动调用 jwt.decode() 的逻辑——这点很多人在第一次写时会漏掉，导致“看似鉴权了，实则谁都能进”。
常见错误现象：InvalidTokenError 或 ExpiredSignatureError 报错后直接 500，而不是返回 401；或者 token 过期后仍能访问接口（没传 options={"verify_exp": True}）。
- 必须显式传
algorithms=["HS256"]，否则PyJWT默认不校验算法，存在安全风险 - 密钥（
SECRET_KEY）不能硬编码在代码里，应从环境变量读取，比如os.getenv("SECRET_KEY") -
jwt.decode()的audience和issuer参数要和签发时一致，否则校验失败
如何封装一个可复用的 get_current_user 依赖？
FastAPI 的依赖注入机制适合把 JWT 解析逻辑抽成函数，但要注意：这个函数必须是 async def（哪怕内部是同步解码），否则 FastAPI 在异步路由中会警告或阻塞事件循环。
示例核心逻辑：
立即学习“Python免费学习笔记（深入）”；
from fastapi import Depends, HTTPException, status
from jose import JWTError, jwt
from typing import Optional
SECRET_KEY = "your-secret-key"
ALGORITHM = "HS256"
async def get_current_user(token: str = Depends(oauth2_scheme)) -> Optional[dict]:
credentials_exception = HTTPException(
status_code=status.HTTP_401_UNAUTHORIZED,
detail="Could not validate credentials",
headers={"WWW-Authenticate": "Bearer"},
)
try:
payload = jwt.decode(token, SECRET_KEY, algorithms=[ALGORITHM])
user_id: str = payload.get("sub")
if user_id is None:
raise credentials_exception
return {"id": user_id}
except JWTError:
raise credentials_exception
关键点：jwt.decode() 是同步操作，但包装成 async def 是为了兼容 FastAPI 的依赖生命周期管理；返回值类型建议用 Optional[dict] 而非 dict，避免 Pydantic 自动校验失败。
创建 Flask + Vue.js 全栈项目，采用单端口架构、uv 依赖管理、结构化日志和生产级前端设计。当用户要求以下操作时触发：创建新的 Flask+Vue 项目、搭建 Web 应用、构建全栈 Python+Vue 应用、初始化 Flask Web 项目、设置单端口 Flask 前后端项目。触发词：新建项目、创建项目、搭建项目、Flask项目、Vue项目。
登录接口怎么安全地签发 JWT？
签发 token 用 jwt.encode()，但容易忽略三点：过期时间必须用 datetime.timedelta 计算，不能手写秒数；payload 中的 sub 字段最好对应用户唯一标识（如数据库 ID），而非用户名；签名密钥强度要够（至少 32 字节随机字符串）。
- 别用
time.time() + 3600算 exp，要用datetime.utcnow() + timedelta(hours=1) - 签发时建议加
iss（issuer）和aud（audience），比如{"iss": "myapp", "aud": "web"} - 测试时可用
secrets.token_urlsafe(32)生成密钥，生产环境存入.env文件
错误示范：jwt.encode({"user": "alice"}, "weak") → token —— 没 exp、没 sub、密钥太短，上线即被爆破。
为什么中间件方式不适合 JWT 鉴权？
有人想用 BaseHTTPMiddleware 全局拦截并解析 token，这会导致两个问题：一是无法在路径操作函数中自然获取当前用户（得从 request.state 取，破坏依赖注入语义）；二是异常处理不统一（中间件里抛 HTTPException 不会被 FastAPI 的异常处理器捕获，容易返回 500 而非 401）。
更严重的是：中间件对所有路径生效，包括 /docs、/openapi.json，而这些本不该走鉴权——你得额外写路径白名单逻辑，徒增复杂度。
所以，坚持用依赖（Depends(get_current_user)）按需应用，比中间件更清晰、更易测、更符合 FastAPI 设计哲学。
真正容易被忽略的是：token 刷新机制没做。JWT 本身无状态，一旦签发就无法主动作废，所以短期有效（如 15 分钟）+ 配套 refresh token 才是生产标配，但这部分得自己实现，fastapi 和 python-jose 都不提供。
