Itsdangerous报TypeError：int与bytes无法相加，如何设置token有效期？

1. 解决TypeError（int与bytes相加）的问题 #

这个报错大概率是你代码里不小心把整数（比如那300秒）和bytes类型的变量拼一块儿了——别手动处理有效期的拼接，URLSafeTimedSerializer会自动把有效期加密进token里，你只需要在调用dumps()时通过expires_in参数传秒数就行。

错误示例（触发报错）：

s = URLSafeTimedSerializer("my-secret-key")
# 错误：把user_id（假设是int）和300直接相加，或把bytes数据与int拼接
token = s.dumps(user_id + 300)

正确写法：

from itsdangerous import URLSafeTimedSerializer
from flask import current_app

def generate_password_reset_token(user_id):
    # 用Flask配置里的SECRET_KEY，别硬编码
    serializer = URLSafeTimedSerializer(current_app.config["SECRET_KEY"])
    # expires_in传秒数，这里是5分钟
    return serializer.dumps(user_id, salt="password-reset", expires_in=300)

2. 默认有效期说明 #

如果调用dumps()时不传expires_in参数，token默认永久有效——这在密码重置场景里绝对不安全，必须显式设置合理的有效期（比如15分钟=900秒，1小时=3600秒）。

3. 生成重置Token的代码检查要点 #

对照你的代码，重点排查这几点：

• 别硬编码密钥：必须用Flask应用配置的SECRET_KEY，保证密钥安全且可通过环境变量灵活配置。
• 用专属salt：每个功能（密码重置、邮箱验证等）用不同的salt，避免不同场景的token被交叉破解。比如示例中的salt="password-reset"。
• 序列化安全且唯一的数据：建议序列化用户ID+当前密码哈希——这样用户改完密码后，旧的重置token会直接失效（因为哈希值改变），安全性更高。示例：

  def generate_reset_token(user_id, current_pw_hash):
      serializer = URLSafeTimedSerializer(current_app.config["SECRET_KEY"])
      return serializer.dumps(
          {"user_id": user_id, "pw_hash": current_pw_hash},
          salt="password-reset",
          expires_in=900
      )
  

• 解析时处理异常：调用loads()解析token时，必须捕获SignatureExpired（token过期）和BadSignature（token被篡改/无效）异常，返回对应的错误提示：

  from itsdangerous import SignatureExpired, BadSignature
  
  def verify_reset_token(token):
      serializer = URLSafeTimedSerializer(current_app.config["SECRET_KEY"])
      try:
          data = serializer.loads(token, salt="password-reset", max_age=900)
      except SignatureExpired:
          return None  # token过期
      except BadSignature:
          return None  # token无效或被篡改
      return data["user_id"]
  

内容的提问来源于stack exchange，提问作者Shane S