app token 和 refreshtoken

App token和refresh token是现今很多应用都会使用的授权机制。

在用户进行OAuth验证授权时，一般会经过三个步骤，即：App向OAuth Server进行申请，用户登录OAuth Server并授权，OAuth Server返回Access Token给App。其中，Access Token是指代表用户授权的令牌，作为请求API的安全码，而App Token和Refresh Token则是用来在授权时进行认证的字符串。

App Token是一个由开发者提供给OAuth服务器来识别应用程序身份标识的令牌。App Token只是用来证明App身份的，无法获取用户授权或者使用API，并且不会因用户登录注销而失效，取得后可以一直使用。

Refresh Token是用来在Access Token过期之后获取新的Access Token的令牌。一般而言，Access Token会设置一段有效时间，在这个时间内进行操作不需要再次登录认证，但是过期后就不能再使用。因此，Refresh Token用来换取新的Access Token，让用户无需重新进行登录授权，提供了一种方便的解决方案。

总的来说，App Token是应用程序发放Token字符串，Refresh Token是为了更新过期Token而服务的代码。它们更加保证了API调用的安全性和有效性，同时也方便了用户的操作。

相关问题

JWT_REFRESH_TOKEN_EXPIRES 怎么使用，给我写一个例子

JWT_REFRESH_TOKEN_EXPIRES 是一个用于设置 JWT 刷新令牌过期时间的变量，它通常与 JWT_ACCESS_TOKEN_EXPIRES 一起使用。下面是一个使用 Flask-JWT-Extended 扩展的例子：

from flask import Flask
from flask_jwt_extended import JWTManager, create_access_token, create_refresh_token, jwt_required, jwt_refresh_token_required, get_jwt_identity, get_raw_jwt

app = Flask(__name__)
app.config['JWT_SECRET_KEY'] = 'super-secret'  # 设置 JWT 密钥
app.config['JWT_ACCESS_TOKEN_EXPIRES'] = 3600  # 设置访问令牌过期时间为 1 小时
app.config['JWT_REFRESH_TOKEN_EXPIRES'] = 604800  # 设置刷新令牌过期时间为 1 周
jwt = JWTManager(app)

# 用户登录，生成访问令牌和刷新令牌
@app.route('/login', methods=['POST'])
def login():
    username = request.json.get('username', None)
    password = request.json.get('password', None)
    if username != 'admin' or password != 'admin':
        return jsonify({'msg': 'Invalid username or password'}), 401
    access_token = create_access_token(identity=username)
    refresh_token = create_refresh_token(identity=username)
    return jsonify({'access_token': access_token, 'refresh_token': refresh_token}), 200

# 使用访问令牌访问受保护的资源
@app.route('/protected', methods=['GET'])
@jwt_required
def protected():
    current_user = get_jwt_identity()
    return jsonify({'msg': f'Hello, {current_user}!'}), 200

# 使用刷新令牌刷新访问令牌
@app.route('/refresh', methods=['POST'])
@jwt_refresh_token_required
def refresh():
    current_user = get_jwt_identity()
    access_token = create_access_token(identity=current_user)
    return jsonify({'access_token': access_token}), 200

if __name__ == '__main__':
    app.run()

在上面的例子中，我们设置了 JWT_REFRESH_TOKEN_EXPIRES 为 1 周，表示刷新令牌在 1 周后过期。当用户登录成功后，我们生成了一个访问令牌和一个刷新令牌，并将它们返回给客户端。当客户端使用访问令牌访问受保护的资源时，我们使用 @jwt_required 装饰器来保护该路由，只有在客户端提供有效的访问令牌时才能访问。当客户端的访问令牌过期时，客户端可以使用刷新令牌来获取新的访问令牌，我们使用 @jwt_refresh_token_required 装饰器来保护刷新令牌路由，只有在客户端提供有效的刷新令牌时才能刷新访问令牌。

flask_jwt_extended 生成新的token的同时销毁旧的token 写一个例子给我

当使用 flask_jwt_extended 生成新的 token 时，可以通过设置 JWT_BLACKLIST_ENABLED 为 True 来启用 token 黑名单功能，从而实现销毁旧的 token。以下是一个例子：

from flask import Flask
from flask_jwt_extended import JWTManager, jwt_required, create_access_token, get_raw_jwt

app = Flask(__name__)
app.config['JWT_SECRET_KEY'] = 'super-secret'  # 设置 JWT 密钥
app.config['JWT_BLACKLIST_ENABLED'] = True  # 启用 token 黑名单功能
app.config['JWT_BLACKLIST_TOKEN_CHECKS'] = ['access']  # 只对 access token 进行黑名单检查
jwt = JWTManager(app)

# 模拟一个用户登录，生成 access token 和 refresh token
@app.route('/login', methods=['POST'])
def login():
    access_token = create_access_token(identity='user_id')
    refresh_token = 'refresh_token'
    return {'access_token': access_token, 'refresh_token': refresh_token}

# 模拟一个需要认证的 API
@app.route('/protected', methods=['GET'])
@jwt_required
def protected():
    return {'message': 'Hello, World!'}

# 在请求头中添加 access token，访问受保护的 API
@app.route('/test', methods=['GET'])
def test():
    headers = {'Authorization': 'Bearer access_token'}
    response = app.test_client().get('/protected', headers=headers)
    return response.json

# 在请求头中添加 refresh token，生成新的 access token 并销毁旧的 access token
@app.route('/refresh', methods=['POST'])
def refresh():
    # 检查 refresh token 是否有效
    # ...

    # 生成新的 access token
    new_access_token = create_access_token(identity='user_id')

    # 将旧的 access token 加入黑名单
    jti = get_raw_jwt()['jti']
    jwt._set_blacklist(jti)

    return {'access_token': new_access_token}

在上面的例子中，当用户登录成功后，会生成一个 access token 和一个 refresh token。在访问受保护的 API 时，需要在请求头中添加 access token。在生成新的 access token 时，需要在请求头中添加 refresh token，并将旧的 access token 加入黑名单。