单体应用中微服务授权：Django与文件处理服务的JWT认证方案咨询

首先直接回应你的核心问题：把JWT随任务一同发送到队列是完全可行的，而且是这种场景下的主流方案之一。下面分步骤拆解具体实现和关键注意事项：

1. 生成任务专属的受限JWT #

不要直接复用用户的普通JWT（有效期短、权限范围大），而是在Django将任务推入队列时，生成一个专门用于提交该任务结果的JWT：

• 最小权限原则：给这个JWT只分配「提交任务结果」这一个权限（比如在JWT的scope或permissions私有声明里指定task:submit_result），禁止任何其他无关操作（比如修改用户数据、查看其他任务）。
• 适配长执行时间的有效期：根据你系统中任务最长可能的执行时间（比如7天、30天）来设置过期时间（exp声明），确保就算任务延迟也不会在执行完成后令牌失效。
• 绑定任务ID：在JWT的私有声明里加入任务的唯一ID（比如task_id: "xxx-xxx"），这样Django在验证令牌时，可以额外校验该令牌只能用于提交对应任务的结果，进一步缩小风险范围。

生成JWT的示例代码（Django中） #

假设你使用djangorestframework-simplejwt库：

from rest_framework_simplejwt.tokens import Token
from rest_framework_simplejwt.settings import api_settings
from datetime import timedelta

# 自定义任务结果提交专用令牌类
class TaskResultToken(Token):
    token_type = "task_result"
    # 配置长有效期，比如7天
    lifetime = timedelta(days=7)

def generate_task_submission_token(task_id):
    token = TaskResultToken()
    # 绑定任务ID
    token['task_id'] = task_id
    # 限定权限范围
    token['scope'] = ["task:submit_result"]
    return token.access_token

2. 将JWT与任务数据一同推入队列 #

当你在Django中创建任务时，把生成的JWT作为任务参数的一部分放入队列（比如Celery、RabbitMQ、Redis队列）：

# 示例：Celery任务调用
from myapp.tasks import process_file_task
from myapp.models import Task

# 假设已经创建了任务实例
task = Task.objects.create(file_path=uploaded_file.path, status="PROCESSING")
# 生成专用令牌
task_token = generate_task_submission_token(task.id)
# 推入队列
process_file_task.delay(
    file_path=task.file_path,
    task_id=task.id,
    submission_token=str(task_token)
)

3. 微服务使用JWT提交结果 #

微服务从队列中取出任务后，处理完文件，将JWT放在HTTP请求的Authorization头中（格式为Bearer <token>），向Django的结果提交接口发送请求：

# 微服务侧伪代码
import requests

def submit_task_result(task_id, result_data, submission_token):
    headers = {
        "Authorization": f"Bearer {submission_token}",
        "Content-Type": "application/json"
    }
    payload = {
        "task_id": task_id,
        "result": result_data,
        "processed_file_url": "https://your-storage.com/processed/xxx.pdf"
    }
    response = requests.post("https://your-django-app.com/api/tasks/submit-result", json=payload, headers=headers)
    response.raise_for_status()

4. Django侧验证JWT和权限 #

在Django的结果提交接口中，添加自定义的认证和权限校验逻辑：

• 验证JWT的签名有效性、过期时间
• 校验JWT中的scope是否包含task:submit_result
• 校验JWT中的task_id与请求中的任务ID一致
• 确保任务当前状态为「处理中」，防止重复提交

示例Django视图 #

from rest_framework.views import APIView
from rest_framework.response import Response
from rest_framework.permissions import BasePermission
from rest_framework_simplejwt.authentication import JWTAuthentication
from myapp.models import Task
from rest_framework import status

class TaskSubmissionPermission(BasePermission):
    def has_permission(self, request, view):
        token = request.auth
        # 检查权限范围
        if "task:submit_result" not in token.get("scope", []):
            return False
        # 检查任务ID匹配
        if token.get("task_id") != request.data.get("task_id"):
            return False
        # 额外检查任务状态，防止重复提交
        try:
            task = Task.objects.get(id=token.get("task_id"))
            if task.status != "PROCESSING":
                return False
        except Task.DoesNotExist:
            return False
        return True

class TaskResultSubmitView(APIView):
    authentication_classes = [JWTAuthentication]
    permission_classes = [TaskSubmissionPermission]

    def post(self, request):
        task_id = request.data.get("task_id")
        result = request.data.get("result")
        processed_file_url = request.data.get("processed_file_url")
        
        task = Task.objects.get(id=task_id)
        task.result = result
        task.processed_file_url = processed_file_url
        task.status = "COMPLETED"
        task.save()
        
        return Response({"status": "success"}, status=status.HTTP_200_OK)

5. 额外安全防护 #

• 加密队列传输：确保队列（比如Celery使用的Redis/RabbitMQ）启用SSL/TLS加密传输，防止JWT在队列中被窃听。
• 避免令牌泄露：不要在日志中打印JWT内容，微服务处理完任务后要及时销毁令牌。
• 可选：令牌黑名单：如果任务被取消或者令牌泄露，可以将该JWT加入黑名单，Django验证时拒绝该令牌。

替代轻量方案：任务专属验证密钥 #

如果你觉得JWT的配置有点重，也可以用更简单的方案：

• Django生成一个随机的、任务专属的验证密钥（比如UUID），存入数据库并与任务关联
• 将该密钥随任务推入队列
• 微服务提交结果时，在请求中带上任务ID和这个密钥
• Django验证密钥与任务ID的匹配性即可

这种方案更轻量，但没有JWT的标准化权限控制，适合简单场景。

内容的提问来源于stack exchange，提问作者Guilherme Goto Escudero