はじめに

Pythonを使ったwebアプリにJWT（JSON Web Token）認証を導入する手順を簡潔にまとめてみました。
まだ実装したことがない方の参考になれば嬉しいです。
（ユーザー登録・パスワード認証は実装されている前提で進めさせていただきます）

JWT認証って何がいいの？

JWTは「認証が成功したあとの認証状態を保つ仕組み」です。
・ログインした人ごとにサーバー側でセッション情報を保存・共有（Redisとか）する必要がない
・サーバーを複数立ててもどのサーバーでも同じトークンを検証できるため、スケールしやすい（負荷分散が楽）
・改ざんできない（署名付き）
といったメリットがあります。

もっと詳しく知りたい方は、こちらの記事がおすすめです。
JWT認証の流れを理解する

1.　必要なライブラリをインストール

pip install PyJWT　（PythonでJWT（JSON Web Token）を簡単に生成・検証できるライブラリ）

「requirements.txt」を使用する場合は、

requirements.txt

PyJWT

Dockerfile

COPY requirements.txt .
RUN pip install -r requirements.txt

2.　JWT関連の共通設定

JWTトークンを扱うときの、共通の設定を記述します。

settings.py

import datetime

SECRET_KEY = ...

# 以下を追加
JWT_SECRET_KEY = SECRET_KEY
JWT_ALGORITHM = 'HS256'
ACCESS_TOKEN_KEY = 'jwt_access'
REFRESH_TOKEN_KEY = 'jwt_refresh'
ACCESS_TOKEN_LIFETIME = datetime.timedelta(minutes=5)
REFRESH_TOKEN_LIFETIME = datetime.timedelta(days=7)

3.　JWT関連のモジュール

JWT関連のユーティリティ関数をまとめたモジュールを作成します。

utils.py

import jwt
from django.conf import settings
from datetime import datetime
from django.http import JsonResponse
from jwt.exceptions import ExpiredSignatureError, InvalidTokenError

def generate_jwt(payload, lifetime):
    exp = datetime.utcnow() + lifetime
    payload.update({"exp": exp})
    token = jwt.encode(payload, settings.JWT_SECRET_KEY, algorithm=settings.JWT_ALGORITHM)
    return token

def decode_jwt(token):
    return jwt.decode(token, settings.JWT_SECRET_KEY, algorithms=[settings.JWT_ALGORITHM])

def create_token_response(user_id, message):
    response = JsonResponse({'message': message})
    # access_token
    access_token_lifetime = settings.ACCESS_TOKEN_LIFETIME
    access_token = generate_jwt({'user_id': user_id}, access_token_lifetime)
    access_expiry = datetime.utcnow() + access_token_lifetime
    response.set_cookie(
      settings.ACCESS_TOKEN_KEY,
      access_token,
      httponly=True,
      secure=True,
      samesite='Lax',
      expires=access_expiry
    )
    # refresh_token
    refresh_token_lifetime = settings.REFRESH_TOKEN_LIFETIME
    refresh_token = generate_jwt({'user_id': user_id, 'type': 'refresh'}, refresh_token_lifetime)
    refresh_expiry = datetime.utcnow() + refresh_token_lifetime
    response.set_cookie(
      settings.REFRESH_TOKEN_KEY,
      refresh_token,
      httponly=True,
      secure=True,
      samesite='Lax',
      expires=refresh_expiry
    )
    return response

def delete_token_response(message):
    response = JsonResponse({'message': message})
    response.delete_cookie(settings.ACCESS_TOKEN_KEY)
    response.delete_cookie(settings.REFRESH_TOKEN_KEY)
    return response

4.　ビュー関数に適用

ログイン時：POSTメソッドで送信された username と password を使ってログイン処理を行い、認証に成功すればトークン付きのレスポンスを返します。
ログアウト時：トークンを無効化してログアウト処理を実行します。

views.py

from django.views.decorators.http import require_http_methods
from django.http import HttpResponseBadRequest
from django.contrib.auth import authenticate, login, logout
from .utils import create_token_response, delete_token_response

@require_http_methods(["POST"])
def mylogin(request):
    username = request.POST.get["username"]
    password = request.POST.get["password"]
    user = authenticate(request, username=username, password=password)
    if user is None:
        return HttpResponseBadRequest()
    login(request, user)
    return create_token_response(request.user.id, "OK")

@login_required
@require_http_methods(["POST"])
def mylogout(request):
    request.user.is_login = False
    request.user.save()
    logout(request)
    return delete_token_response("OK")

5.　カスタムミドルウェアの作成

JWTを使った認証処理をリクエストとレスポンスの間に挟んで自動で制御できるようにします。

settings.py

MIDDLEWARE = [
    'middleware.JWTAuthenticationMiddleware'
]

middleware.py

import jwt
from datetime import datetime
from django.conf import settings
from django.contrib.auth import get_user_model, logout
from django.utils.deprecation import MiddlewareMixin
from django.contrib.auth.models import AnonymousUser
from .utils import decode_jwt, generate_jwt
from django.shortcuts import render

User = get_user_model()
EXCLUDED_PATHS = [
  '/',
]

class JWTAuthenticationMiddleware(MiddlewareMixin):
    def process_request(self, request):
        if request.path in EXCLUDED_PATHS:
            return
        access_token = request.COOKIES.get(settings.ACCESS_TOKEN_KEY)
        refresh_token = request.COOKIES.get(settings.REFRESH_TOKEN_KEY)

        if access_token:
            try:
                payload = decode_jwt(access_token)
                user = User.objects.get(id=payload["user_id"])
                request.user = user
                return
            except jwt.ExpiredSignatureError:
                # need to refresh token
                pass
            except (jwt.DecodeError, User.DoesNotExist):
                self.set_user_logout(request)
                return

        if refresh_token:
            try:
                payload = decode_jwt(refresh_token)
                if payload.get("type") != "refresh":
                    raise jwt.InvalidTokenError()
                user = User.objects.get(id=payload["user_id"])
                request.user = user
                # create new access token
                new_access_token = generate_jwt({'user_id': user.id}, settings.ACCESS_TOKEN_LIFETIME)
                request.new_access_token = new_access_token
                return
            except (jwt.ExpiredSignatureError, jwt.DecodeError, jwt.InvalidTokenError, User.DoesNotExist):
                self.set_user_logout(request)
                return
        self.set_user_logout(request)

    def process_response(self, request, response):
        if hasattr(request, 'new_access_token'):
            access_token_lifetime = settings.ACCESS_TOKEN_LIFETIME
            access_expiry = datetime.utcnow() + access_token_lifetime
            response.set_cookie(
                settings.ACCESS_TOKEN_KEY,
                request.new_access_token,
                httponly=True,
                secure=True,
                samesite='Lax',
                expires=access_expiry
            )
        # delete cookie on logout
        if getattr(request, 'clear_jwt_cookies', False):
            response = render(request, 'index.html', status=401)
            response.delete_cookie(settings.ACCESS_TOKEN_KEY)
            response.delete_cookie(settings.REFRESH_TOKEN_KEY)
        return response

    def set_user_logout(self, request):
        if request.user and hasattr(request.user, "id"):
            try:
                user = User.objects.get(id=request.user.id)
                user.is_login = False
                user.save(update_fields=["is_login"])
                logout(request)
            except User.DoesNotExist:
                pass
            except Exception as e:
                print('error:', e)
        request.user = AnonymousUser()
        request.clear_jwt_cookies = True

おわりに

今回はDjangoでの例であり、Django REST Frameworkを使用する場合はdjangorestframework-simplejwtを使った方法がネット上で多く紹介されているのでそちらを参考にしてみてください。（現在はそちらが主流のようです）
認証まわりに関連して、QRcodeを使用したTOTP（Time-based One-Time Password）を導入する記事も書きましたので、ぜひそちらも合わせて御覧ください！
PythonでQRコード認証(TOTP)を実装する