PyJWT如何验证自定义Claim值？与Authlib对比存疑

DevOps 小满

2026-8-3

PyJWT自定义Claim值验证方案

PyJWT没有内置类似Authlib那样的通用自定义Claim值验证配置项，除了iss、aud这类标准Claim可以通过专属参数（issuer、audience）直接校验值以外，自定义Claim（比如你示例中的email）的值确实需要手动解析解码后的Token来完成校验。

标准Claim的内置支持

对于iss（签发者）、aud（受众）这类标准Claim，PyJWT提供了直接的参数支持值校验，比如你示例中的代码：

decoded_token = jwt.decode(
    token,
    key,
    audience="api1",
    issuer="https://idp.example.com",
    algorithms=["RS256"],
    options={"require": ["exp", "iss", "aud", "email"]}
)

这段代码会自动校验iss和aud的值是否与传入的参数匹配，不匹配则直接抛出异常。

自定义Claim的手动校验方案

对于email这类自定义或非标准Claim，你需要在解码完成后手动校验其值，示例代码如下：

decoded_token = jwt.decode(
    token,
    key,
    audience="api1",
    issuer="https://idp.example.com",
    algorithms=["RS256"],
    options={"require": ["exp", "iss", "aud", "email"]}
)

# 校验email claim的值
if decoded_token["email"] != "user1@email.com":
    raise ValueError("Invalid email claim value")

如果需要校验多个自定义Claim，可以封装成复用的函数：

def validate_custom_claims(decoded_token, expected_claims):
    for claim_name, expected_value in expected_claims.items():
        if decoded_token.get(claim_name) != expected_value:
            raise ValueError(f"Claim '{claim_name}' has invalid value")

# 使用示例
expected_claims = {
    "email": "user1@email.com",
    "role": "editor"
}
validate_custom_claims(decoded_token, expected_claims)