API数据格式认证方式框架及工具：技术代码与实践指南

原创已于 2026-06-15 10:19:36 修改 · 1k 阅读

5 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

标签

#数据库 #python

于 2026-05-19 10:33:11 首次发布

API安全是数据交互的核心保障。本文聚焦API认证的主流框架与工具，通过技术代码示例解析API Key、JWT令牌和HMAC签名三种核心认证方式，助力开发者快速构建安全可靠的API服务。

一、API Key认证：轻量级身份验证
适用于内部系统或低风险场景，通过密钥实现身份确认。
代码示例（Python请求示例）：

import requests

response = requests.get(

    headers={"Authorization": "ApiKey YOUR_SECRET_KEY"}  # 密钥需环境变量注入
)

关键点：

密钥严禁硬编码，推荐通过环境变量或KMS管理。
仅适用于低敏感度场景，需配合HTTPS传输。

二、JWT（JSON Web Token）认证：无状态服务标配
适用于微服务、前后端分离场景，令牌自含用户权限信息。
代码示例：

from flask import Flask, request, jsonify
import jwt
from datetime import datetime, timedelta

app = Flask(__name__)
JWT_SECRET = "your_secret_key"

# 生成token
def create_token(user_id):
    payload = {
        "userId": user_id,
        "exp": datetime.utcnow() + timedelta(hours=1)
    }
    return jwt.encode(payload, JWT_SECRET, algorithm="HS256")

# 验证token装饰器
def token_required(f):
    def wrapper(*args, **kwargs):
        token = request.headers.get("Authorization")
        if not token:
            return jsonify({"error": "Token missing"}), 401

        try:
            token = token.split()[1] if "Bearer " in token else token
            data = jwt.decode(token, JWT_SECRET, algorithms=["HS256"])
            request.current_user = data
        except jwt.ExpiredSignatureError:
            return jsonify({"error": "Token expired"}), 403
        except jwt.InvalidTokenError:
            return jsonify({"error": "Invalid token"}), 403

        return f(*args, **kwargs)
    return wrapper

# 受保护接口
@app.route("/protected")
@token_required
def protected():
    return jsonify({"message": f"Hello User {request.current_user['userId']}"})

if __name__ == "__main__":
    print("Token:", create_token(123))
    app.run(debug=True)

关键点：

设置短期有效期（如1小时），避免令牌长期泄露风险。
支持权限声明（如scopes字段），灵活控制资源访问。

三、HMAC签名认证：金融级安全防线
适用于高安全场景（如支付接口），通过签名防篡改与重放攻击。
代码示例（python语言签名生成）：

import hmac
import hashlib
import base64

def generate_signature(data, secret):
    # HMAC-SHA256 签名 + Base64编码
    signature = hmac.new(secret.encode(), data.encode(), hashlib.sha256).digest()
    return base64.b64encode(signature).decode()

if __name__ == "__main__":
    data = "example_data_to_sign"
    secret = "your_secret_key"
    
    signature = generate_signature(data, secret)
    print(f"签名结果: {signature}")
    print(f"Authorization请求头: HMAC-SHA256 Signature={signature}")