python - 你如何在 Flask 中实现 token 认证？

Question

我正在尝试允许用户使用来自单独网络服务的帐户登录我的 Flask 应用程序。我可以联系此 Web 服务的 API 并接收安全 token 。我如何使用此 token 对用户进行身份验证，以便他们可以访问受限 View ？

我不需要将用户保存到我自己的数据库中。我只想验证他们的 session 。我相信这可以使用 Flask-Security 和 @auth_token_required 装饰器来完成，但文档不是很详细，我不确定如何实现它。

编辑:

这是一个代码示例:

@main.route("/login", methods=["GET", "POST"])
def login():

    payload = {"User": "john", "Password": "password123"}
    url = "http://webserviceexample/api/login"
    headers = {'content-type': 'application/json'})

    #login to web service
    r = requests.post(url, headers=headers, json=payload)
    response = r.json()

    if (r.status_code is 200):
        token = response['user']['authentication_token']

        # allow user into protected view

    return render_template("login.html", form=form)


@main.route('/protected')
@auth_token_required
def protected():
    return render_template('protected.html')

Answer 1

嘿，Amedrikaner!

看起来您的用例很简单，我们可以自己实现。在下面的代码中，我会将您的 token 存储在用户 session 中并 checkin 新的包装器。让我们开始制作我们自己的包装器，我通常只是将它们放在 wrappers.py 文件中，但您可以将它放在您喜欢的位置吗？

def require_api_token(func):
    @wraps(func)
    def check_token(*args, **kwargs):
        # Check to see if it's in their session
        if 'api_session_token' not in session:
            # If it isn't return our access denied message (you can also return a redirect or render_template)
            return Response("Access denied")

        # Otherwise just send them where they wanted to go
        return func(*args, **kwargs)

    return check_token

酷!

现在我们已经实现了我们的包装器，我们可以将他们的 token 保存到 session 中。 super 简单。让我们修改您的功能...

@main.route("/login", methods=["GET", "POST"])
def login():

    payload = {"User": "john", "Password": "password123"}
    url = "http://webserviceexample/api/login"
    headers = {'content-type': 'application/json'})

    #login to web service
    r = requests.post(url, headers=headers, json=payload)
    response = r.json()

    if (r.status_code is 200):
        token = response['user']['authentication_token']

        # Move the import to the top of your file!
        from flask import session

        # Put it in the session
        session['api_session_token'] = token

        # allow user into protected view

    return render_template("login.html", form=form)

现在您可以使用 @require_api_token 包装器检查 protected View ，就像这样...

@main.route('/super_secret')
@require_api_token
def super_secret():
    return "Sssshhh, this is a secret"

编辑哇!我忘了说你需要在你的应用程序配置中设置你的 SECRET_KEY。

只需一个带有 SECRET_KEY="SOME_RANDOM_STRING"的 config.py 文件即可。然后用...加载它

main.config.from_object(config)