[73]python产生token及token验证

@[toc]

1.前言

最近在做微信公众号开发在进行网页授权时,微信需要用户自己在授权url中带上一个类似token的state的参数,以防止跨站攻击。

在经过再三思考之后,自己试着实现一个产生token和验证token的方案。接下就把code贴出来。希望读者指导一下。

2.产生token

原理: 通过hmac sha1 算法产生用户给定的key和token的最大过期时间戳的一个消息摘要,将这个消息摘要和最大过期时间戳通过":"拼接起来,再进行base64编码,生成最终的token

实现:

python 复制代码
import time
import base64
import hmac

def generate_token(key, expire=3600):
    r'''
        @Args:
            key: str (用户给定的key,需要用户保存以便之后验证token,每次产生token时的key 都可以是同一个key)
            expire: int(最大有效时间,单位为s)
        @Return:
            state: str
    '''
    ts_str = str(time.time() + expire)
    ts_byte = ts_str.encode("utf-8")
    sha1_tshexstr  = hmac.new(key.encode("utf-8"),ts_byte,'sha1').hexdigest() 
    token = ts_str+':'+sha1_tshexstr
    b64_token = base64.urlsafe_b64encode(token.encode("utf-8"))
    return b64_token.decode("utf-8")

3.验证token

原理: 将token进行base64解码,通过token得到token最大过期时间戳和消息摘要。判断token是否过期。 如没过期才将 从token中的取得最大过期时间戳进行hmac sha1 算法运算(注意这里的key要与产生token的key要相同),最后将产生的摘要与通过token取得消息摘要进行对比, 如果两个摘要相等,则token有效,否则token无效 。

实现:

python 复制代码
import time
import base64
import hmac

def certify_token(key, token):
    r'''
        @Args:
            key: str
            token: str
        @Returns:
            boolean
    '''
    token_str = base64.urlsafe_b64decode(token).decode('utf-8')
    token_list = token_str.split(':')
    if len(token_list) != 2:
        return False
    ts_str = token_list[0]
    if float(ts_str) < time.time():
        # token expired
        return False
    known_sha1_tsstr = token_list[1]
    sha1 = hmac.new(key.encode("utf-8"),ts_str.encode('utf-8'),'sha1')
    calc_sha1_tsstr = sha1.hexdigest()
    if calc_sha1_tsstr != known_sha1_tsstr:
        # token certification failed
        return False 
    # token certification success
    return True 

4.用法

key = "JD98Dskw=23njQndW9D" # 一小时后过期 token = generate_token(key, 3600)

certify_token(key, token)

相关推荐
tinker2 天前
ROS2 - SLAM 同步定位与建图
程序员
小爱同学_5 天前
一次面试让我重新认识了 Cursor
前端·面试·程序员
彼日花5 天前
前端新人30天:从手足无措到融入团队
前端·程序员
你的人类朋友5 天前
【操作系统】说说 x86 和 x64
后端·程序员·操作系统
AI大模型6 天前
构建可用于生产环境的 RAG 智能体:开发者完整指南
程序员·llm·agent
SimonKing6 天前
GitHub 标星 370k!免费编程资源大合集,从此自学不花一分钱
java·后端·程序员
韦德说6 天前
副业整整一周年:从产品交付到市场运营的真实经验分享
程序员·开源·产品
AI绘画哇哒哒7 天前
实战:SQL统一访问200+数据源,构建企业级智能检索与RAG系统(下)
人工智能·sql·深度学习·学习·ai·程序员·大模型
AI大模型7 天前
别再把RAG当记忆:这5个开源引擎让AI真正会记住
程序员·llm·agent
大模型教程7 天前
彻底搞懂大模型“预训练”和“微调”
程序员·llm·agent