python - 在 Flask 中保护 REST API

Question

我正在开发的应用程序使用了大量的 ajax 调用。不幸的是，我在研究如何限制对 api 的访问时遇到了障碍。例如:

• 我有一个对 http://site/api/tasks/bob 进行 ajax 调用的表
  我需要确保只有登录的鲍勃才能读取该表(否则知道模式的人可能会要求查看 bob 的只需在浏览器中输入 url 即可完成任务)。
• 在不同的页面上，同一个表需要能够调用http://site/api/tasks/all并显示所有用户的任务(只有管理员才能执行此操作)

感谢您抽出宝贵时间阅读本文并回答。

Answer 1

千英尺 View 是您需要通过以下方式对用户进行身份验证:

A) 每个请求的 HTTP-Auth(basic 或 digest)。

B) 服务器端 session 。 (用户验证并接收 session key ——他们的用户信息存储在服务器的 session 后端中，附加到该 key 一旦他们有一个 session ，他们可以发出请求将他们的 session key 传回给你(在 URL 中或在一个 cookie)，他们有权访问的信息将返回给他们。)

Flask 有一对有用的 extensions处理这类事情的很大一部分 - 查看Flask-Login和 Flask-Principal查看如何将授权添加到 Flask 应用程序的示例。