Proteja endpoints con jwt_required
Verifique el token en cada llamada a la API.
Proteja endpoints con jwt_required es una lección gratuita de Flask Academy en CoddyKit. Esta es la lección 3 de 4. Puedes leer la lección completa abajo gratuitamente — luego la practicas en el navegador con un editor de código integrado y un tutor de IA 24/7. Forma parte de la ruta de aprendizaje de Flask Academy, y tu progreso se sincroniza en la web y la app de CoddyKit. El curso de Flask Academy incluye 4 lecciones en total.
Partes de esta lección aún no han sido traducidas y se muestran en inglés.
Guarding a Route
A token is only useful if some routes demand it. The jwt_required decorator turns any view into a members-only endpoint. 🔒
Apply the Decorator
Stack @jwt_required() under your route. Now the view only runs when a valid, unexpired token arrives.
@app.get("/profile")
@jwt_required()
def profile():
...Where the Token Goes
Clients send the token in the Authorization header using the Bearer scheme. Flask-JWT-Extended reads it from there automatically.
Authorization: Bearer <your-token>Automatic Rejection
No token, or a bad one? The decorator stops the request before your code runs and returns a 401. You write zero checking logic.
Who Is Calling
Inside a guarded view, call get_jwt_identity to read the identity you signed at login, usually the user id.
from flask_jwt_extended import get_jwt_identity
uid = get_jwt_identity()Read the Full Claims
Need extra claims like a role? get_jwt returns the whole payload as a dict so you can branch on what is inside.
from flask_jwt_extended import get_jwt
role = get_jwt().get("role")Use the Identity
With the user id in hand, load that user and serve their data. The token told you who, so the rest is normal Flask. 🙂
user = User.query.get(get_jwt_identity())Optional Protection
Want a page that adapts whether or not someone is logged in? Use optional=True so the view runs either way.
@jwt_required(optional=True)Customize the Error
Register an unauthorized_loader to return a friendly JSON message instead of the default when a token is missing.
@jwt.unauthorized_loader
def missing(reason):
return {"msg": reason}, 401Expired Tokens
An expired token is also rejected by the decorator. The client must log in again or refresh to keep going, which keeps stolen tokens short-lived.
Never Trust the Body
Read the caller from the token, never from a user id in the request body. The signature is what makes the identity trustworthy.
Quick Check
Recall how a guarded view learns who is calling.
Recap
Add @jwt_required() to guard a route, send the token as a Bearer header, and read the caller with get_jwt_identity. 🔐
Preguntas frecuentes
¿La lección «Proteja endpoints con jwt_required» es gratis?
Sí — el texto completo de «Proteja endpoints con jwt_required» es gratis para leer aquí en la web. Para practicarla de forma interactiva (editor de código integrado y tutor de IA 24/7) y desbloquear el resto del curso de Flask Academy, actualiza a CoddyKit PRO. El curso de Flask Academy incluye 4 lecciones en total.
¿Qué aprenderé en «Proteja endpoints con jwt_required»?
Verifique el token en cada llamada a la API. Practicas Flask Academy con código real que ejecutas directamente en el navegador, y un tutor de IA 24/7 responde tus preguntas mientras trabajas en la lección.
¿Necesito experiencia previa para empezar Flask Academy?
No se requiere experiencia previa. Flask Academy en CoddyKit está estructurado para principiantes hasta estudiantes avanzados, así que puedes empezar aquí o desde el inicio y avanzar a tu ritmo. Esta es la lección 3 de 4.
¿Cuánto tiempo toma la lección «Proteja endpoints con jwt_required»?
La mayoría de las lecciones de CoddyKit toman alrededor de 5–10 minutos. Cada una es compacta e interactiva, así que avanzas constantemente y retomas exactamente por donde dejaste en la web y la app.
¿Puedo escribir y ejecutar código en esta lección de Flask Academy?
Sí. Cada lección de Flask Academy incluye un editor de código integrado, así que escribes y ejecutas código real directamente en tu navegador y obtienes retroalimentación instantánea de IA — sin configuración local necesaria.
Todas las lecciones de este curso
- Sesiones frente a tokens sin estado
- Emita tokens de acceso al iniciar sesión
- Proteja endpoints con jwt_required
- Tokens de actualización y caducidad