api-jwt-authenticator
使用JWT身份验证保护FastAPI API
FastAPI API需要安全的身份验证来保护端点和用户数据。该技能提供有关实现JWT令牌验证、用户身份核验以及针对REST API的基于角色访问控制的指导。
下载技能 ZIP
在 Claude 中上传
前往 Settings → Capabilities → Skills → Upload skill
开启并开始使用
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“api-jwt-authenticator”。 Add JWT authentication to my FastAPI user profile endpoint
预期结果:
- 从Authorization头中提取JWT令牌
- 使用密钥验证令牌签名
- 验证令牌过期时间（未过期）
- 从令牌载荷中提取用户身份
- 为已认证请求返回用户资料
- 对无效令牌返回401 Unauthorized
正在使用“api-jwt-authenticator”。 Create admin-only endpoint using role-based access
预期结果:
- 从JWT令牌载荷中提取用户角色
- 将角色与所需的'admin'权限进行比较
- 管理员用户获得对敏感端点的访问
- 非管理员用户收到403 Forbidden响应
- 记录身份验证审计以进行安全监控
安全审计
低风险Static analysis flagged Markdown backticks, JWT terminology, and HTTP authentication documentation as suspicious patterns. Review found no executable code, shell invocation, prompt injection, malware behavior, or data exfiltration in SKILL.md. The skill is a conceptual security guide and is safe to publish with low residual risk.
已忽略静态误报 (3)
这些静态命中已被语义复核判定为误报，或只命中了 schema 定义里的词；这里保留展示用于透明度，但不影响质量评分。
质量评分
你能构建什么
保护API端点
通过JWT令牌验证和用户身份核验来保护需要认证用户访问的FastAPI端点。
实现访问控制
实施基于角色的访问控制策略，确保用户只能访问其被授权查看的资源。
设计认证系统
在充分考虑安全性的前提下，使用JWT令牌为微服务构建无状态认证模式。
试试这些提示
Use the API JWT Authenticator skill to add JWT authentication to a FastAPI endpoint. Extract the Bearer token from the Authorization header, validate the signature using a secret key, verify expiration, and return user info or 401 error.
Apply the JWT Authenticator pattern to ensure users can only access their own resources. Extract user_id from token payload, compare with resource owner, and return 403 if they do not match.
Implement role-based access control using the JWT Authenticator skill. Define admin, moderator, and user roles in token claims. Create dependencies that verify user role before allowing endpoint access.
Design a complete JWT authentication system for FastAPI following best practices from the API JWT Authenticator skill. Include token generation endpoint, protected routes, error handling, and production security considerations.
最佳实践
- 始终在生产环境中使用HTTPS，防止传输过程中令牌被截获
- 将密钥存放在环境变量或安全的密钥库中，绝不要放在源代码里
- 设置合适的令牌过期时间，以限制令牌泄露后的暴露窗口
避免
- 不要在URL或服务器日志中暴露原始JWT令牌，这会导致令牌被窃取
- 避免在JWT载荷中存储敏感信息，因为任何人都可以解码令牌
- 即使在开发或测试环境中也不要跳过令牌签名验证