Python 解密JWT验证苹果登录

Posted Kevin Lu

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Python 解密JWT验证苹果登录相关的知识,希望对你有一定的参考价值。

  1. 验证苹果登录,官方提供两种验证方法,一种是token,另一个种是code。这里使用的是token
  2. 登录流程:
    1. 苹果客户端调用苹果API,获取到用户的信息,包括:
      1. user_id
      2. 昵称
      3. identity_token
    2. 苹果客户端发送identity_token到服务端
    3. 服务端验证identity_token是否合法,并解析数据,得到user_id。这个user_id和上面的user_id是一样的
    4. 服务端检查该user_id是否已注册,如果是,返回登录信息。如果否,注册。
  3. 验证的原理:
    1. 苹果会把用户的信息放在一个json里面,然后使用私钥对json签名。
    2. 服务端调用苹果API拿到公钥,然后验证签名是否正确。
    3. 所以总的来说就是使用RSA私钥签名的算法来保证数据不会被篡改。
  4. identity_token解析后包含几部分内容

    1. header。
      1. 例子:{u‘alg‘: u‘RS256‘, u‘kid‘: u‘86D88Kf‘}
      2. alg是加密算法类型
      3. kid是使用的公钥的id
    2. payload或者claims 。也就是数据:
      1. 例子:

        {
         u'c_hash': u'HpjAKvLjivbJr9j9ZxfFxA',
         u'aud': u'com.kugou.moe',
         u'iss': u'https://appleid.apple.com',
         u'email_verified': u'true',
         u'nonce_supported': True,
         u'exp': 1583829815,
         u'auth_time': 1583829215,
         u'iat': 1583829215,
         u'email': u'huanghuixia5@163.com',
         u'sub': u'001712.90358ddaa2294989b3b7c88b30086b37.0724' # 用户唯一标志,相当于openid
           }
      2. aud 客户端的报名。
      3. exp。超时时间,时间戳。当前时间如果大于这个时间,会报超时错误
      4. email 用户的email
      5. sub 用户的user_id

demo

使用了python-jwt这个库。安装方法:pip install python-jwt

# encoding=utf8
import requests
import logging
import python_jwt as jwt, jwcrypto.jwk as jwk

log = logging.getLogger('test')


class AppleLoginManager(object):
    """
    苹果登录
    """

    @classmethod
    def get_key(cls, kid):
        """
        访问apple 获取公钥。apple的接口会返回很多公钥的,根据jwt数据header的kid,找到对应的公钥
        :param kid:
        :return: {
            "kty": "RSA",
            "kid": "eXaunmL",
            "use": "sig",
            "alg": "RS256",
            "n": "4dGQ7bQK8LgILOdLsYzfZjkEAoQeVC_aqyc8GC6RX7dq_KvRAQAWPvkam8VQv4GK5T4ogklEKEvj5ISBamdDNq1n52TpxQwI2EqxSk7I9fKPKhRt4F8-2yETlYvye-2s6NeWJim0KBtOVrk0gWvEDgd6WOqJl_yt5WBISvILNyVg1qAAM8JeX6dRPosahRVDjA52G2X-Tip84wqwyRpUlq2ybzcLh3zyhCitBOebiRWDQfG26EH9lTlJhll-p_Dg8vAXxJLIJ4SNLcqgFeZe4OfHLgdzMvxXZJnPp_VgmkcpUdRotazKZumj6dBPcXI_XID4Z4Z3OM1KrZPJNdUhxw",
            "e": "AQAB"
        }
        """
        ret = requests.get('https://appleid.apple.com/auth/keys')
        ret_json = ret.json()
        for key in ret_json['keys']:
            if key['kid'] == kid:
                return key
        log.error(u'[苹果登录]找不到对应的kid %s %s' % (kid, ret_json))
        raise Exception('找不到对应的kid')

    @classmethod
    def verify_jwt(cls, token):
        """
        验证jwt数据,返回:
        {
          u'c_hash': u'HpjAKvivbJr9j9ZxfFxA',
          u'aud': u'com.test.moe',
          u'iss': u'https://appleid.apple.com',
          u'email_verified': u'true',
          u'nonce_supported': True,
          u'exp': 1583829815,
          u'auth_time': 1583829215,
          u'iat': 1583829215,
          u'email': u'hua@163.com',
          u'sub': u'0017xx.9035989b3bxxxxx7c88b30086b37.xxx' # 用户唯一标志,相当于openid
        }

        """
        header, claims = jwt.process_jwt(token)  # 获取信息,但是不验证
        if claims['aud'] != 'com.test.test':  # 检验是不是自己的安装包名
            log.error(u'[苹果登录]aud异常 aud:%s  token:%s' % (claims['aud'], token))
            raise Exception(u'安装包名异常')
        key_obj = AppleLoginManager.get_key(header['kid'])

        key = jwk.JWK(**key_obj)

        header, claims = jwt.verify_jwt(token, key, [key_obj['alg']], checks_optional=1)  # 获取信息并验证
        return claims

    @classmethod
    def get_access_info(cls, token):
        """获取授权信息"""
        try:
            resp_json = AppleLoginManager.verify_jwt(token)
            return {
                "open_id": resp_json['sub'],
            }
        except:
            log.exception(u'苹果登录异常,token:%s' % token)
            raise Exception('苹果登录异常')


token = '''xxxx''' #前端传过来的 identity_token
AppleLoginManager.get_access_info(token)

以上是关于Python 解密JWT验证苹果登录的主要内容,如果未能解决你的问题,请参考以下文章

如何从 JWK 密钥集中选择有效密钥进行苹果登录令牌验证?

签名验证失败 - Apple 使用 Firebase JWT 登录

如何在Java 中创建和验证JWT

JWT - 解密令牌但不验证

解密/验证 Firebase 令牌

如何验证 Apple 登录的 Jwt 令牌(后端验证)。如何从 Java 中的模数和指数 (n,e) 生成 RSA 公钥