python - 推出网络认证系统

Question

我正在构建一个需要用户身份验证和授权的站点。我最初的想法是使用 Flask 框架编写应用程序。然而，I learned that Flask doesn't have a built in authentication system .它确实有一个扩展名 flask-login，但我还没有得到任何关于这个扩展名是否写得很好的确认。我读到过很容易弄错身份验证。

1. 切换到 Django 或 web2py 之类的东西是否是个好主意，它们确实内置了身份验证系统？

2. 优秀的网络程序员通常会选择使用久经考验的真实身份验证系统，而不是尝试推出自己的身份验证系统吗？

3. 是否有好的指南可以展示构建身份验证/授权系统的最佳实践？

谢谢大家!

Answer 1

如果您想向您的网站添加用户登录功能(即身份验证和授权)，请使用现有框架。除非您是安全专家，否则编写安全系统的可能性接近于 0。无论您使用何种语言编程，无论您使用何种框架，这都适用。

不幸的是，我看到有人这样回答这个问题:“作为初学者，这并不难，编写代码也很有趣。你需要一个地方来存储你的数据(比如 mysql 数据库)。你应该存储加密版本的密码等等。”这个答案是完全不正确的。

有可用的免费身份验证框架，使用它们。例如，Django 和 web2py 都有内置的身份验证系统。许多框架没有内置身份验证(例如 Flask、webpy)；这并不意味着您应该推出自己的框架。这只是意味着您应该找到第 3 方身份验证软件。对于 Flask，有 Flask-login。

所以，我原来问题的答案是:

1.) 是，或集成经过验证的第 3 方软件系统。

2.) 是的，最好的做法是不要编写自己的身份验证系统。使用已经建成的。

3.) 您不需要指南来构建身份验证系统，因为您不应该构建一个。然而，OWASP是一个很好的安全资源。

这里有一个简短的总结:不要编写自己的身份验证系统。使用受信任的预构建身份验证系统。如果有人对可与 Python 一起使用的身份验证系统有任何建议，请随时发布。