### Flask框架中Token的功能和用途 在Web应用程序的安全性和认证机制方面，令牌（Token）扮演着至关重要的角色。对于基于Flask的应用程序而言，Token主要用于验证客户端请求的身份合法性。 #### Token的主要功能 1. **身份验证** 当用户登录成功后，服务器会生成一个唯一的Token返回给前端。之后每次发起HTTP请求时，都需要携带这个Token作为凭证来证明自己的合法身份[^2]。 2. **权限控制** 不同级别的Token可以赋予不同范围的操作权限。通过解析收到的Token信息，服务端能够判断当前用户的访问权限等级，并据此决定是否允许执行特定操作或查看某些资源。 3. **状态保持** 使用无状态协议如RESTful API构建的服务，默认情况下不具备保存会话的能力。而借助于Token，则可以在不依赖浏览器Cookie的情况下实现跨多个请求的状态维持，即所谓的“伪会话”。 4. **防止CSRF攻击** CSRF(Cross-Site Request Forgery)是一种常见的安全威胁形式之一。引入Token机制后，在表单提交或其他可能引发副作用的动作之前先校验其附带的有效性标记，从而有效抵御此类风险。 #### 实现示例 下面给出一段简单的Python代码片段用于展示如何利用`flask_httpauth`库配合JWT(JSON Web Tokens)完成基本的身份验证流程： ```python from flask import Flask, jsonify, request from itsdangerous import TimedJSONWebSignatureSerializer as Serializer import jwt from werkzeug.security import generate_password_hash, check_password_hash app = Flask(__name__) secret_key = 'your_secret_key' # 秘钥应该更加复杂随机并妥善保管 users_db = { "test": generate_password_hash("password"), } def create_token(username): s = Serializer(secret_key, expires_in=3600) token = s.dumps({'username': username}).decode('ascii') return token @app.route('/login', methods=['POST']) def login(): data = request.get_json() user = users_db.get(data['username'], None) if not user or not check_password_hash(user, data['password']): return jsonify({"message": "Invalid credentials"}), 401 token = create_token(data['username']) response_data={ "token": token, "expiresIn": 3600 } return jsonify(response_data) @auth.verify_password def verify_password(token, unused): try: s = Serializer(secret_key) data = s.loads(token) except Exception as e: return False return True @app.route('/protected') @auth.login_required def protected_route(): return jsonify({"data":"This is a protected route"}) ```