3

在我的 app.py 中，我初始化了 flask-jwt-extended 如下：

# Setup the Flask-JWT-Extended extension
app.config['RESTPLUS_MASK_SWAGGER'] = False # remove default X-Fields field in swagger
app.config['JWT_SECRET_KEY'] = 'super-secret'  # Change this!
app.config['JWT_BLACKLIST_ENABLED'] = True
app.config['JWT_BLACKLIST_TOKEN_CHECKS'] = ['access', 'refresh']
jwt = JWTManager(app)

然后我使用片段在登录中创建令牌：

            expires = datetime.timedelta(minutes=10)
            access_token = create_access_token(identity=payload['email'], fresh=True, expires_delta=expires)
            refresh_token = create_refresh_token(identity=payload['email'])

奇怪的是，如果我将装饰器 @jwt.token_in_blacklist_loader 添加到某个端点，我总是收到“令牌已被撤销”错误消息。

@jwt.token_in_blacklist_loader
@api.route('/')
class UserList(Resource):
    @jwt_required
    @api.doc('list_users')
    @api.marshal_list_with(user)
    def get(self):
        '''Get all users'''
        users = UserApi.query.all()
        return users

据我所知，这个装饰器是检查令牌是否被列入黑名单，我只是从登录创建一个新令牌，创建新令牌并检查令牌是否被列入黑名单的最佳做法是什么？

4

2 回答 2

5

从以下文档flask-jwt-extended：

此装饰器设置访问受保护端点时将调用的回调函数，并将检查 JWT 是否已被撤销。默认情况下，不使用此回调。

提示：回调必须是一个带有一个参数的函数，该参数是解码的 JWT（python 字典），True如果令牌已被列入黑名单（或以其他方式被视为已撤销）或 False其他情况，则返回。

当token_in_blacklist_loader访问受保护的端点时，装饰器用于设置回调函数。你应该在检查你的令牌是否被列入黑名单的函数上使用这个装饰器。使用内存保存列入黑名单的令牌的简单示例：

blacklist = set()
@jwt.token_in_blacklist_loader
def check_if_token_in_blacklist(decrypted_token):
    jti = decrypted_token['jti']
    return jti in blacklist

有关更多信息，请查看此处的示例：https ://flask-jwt-extended.readthedocs.io/en/stable/blacklist_and_token_revoking/

于 2020-01-02T11:34:47.210 回答
1

您是否记得将新生成的 access_token（来自 refresh_token）添加到黑名单数据库？假定黑名单数据库中缺少的所有令牌都被撤销......

于 2020-07-13T11:13:02.707 回答