rest - 在 Flask-JWT REST API 中使用 Flask-Security 角色-6ren

rest - 在 Flask-JWT REST API 中使用 Flask-Security 角色

转载作者：行者123 更新时间：2023-12-03 07:30:29

26

4

我正在构建一个基于 Flask 的 REST API 并使用 Flask-JWT 来处理 JWT 身份验证。我还想在 Flask-Security 中使用内置的角色管理。但是，Flask-Security 的 @roles_required() 装饰器假定我在失败时显示 Flask View 。

这是我的 token 端点(按我的意愿工作):

$ http POST localhost:5000/auth/token username='test' password='test'
HTTP/1.0 200 OK
Content-Length: 192
Content-Type: application/json
Date: Sun, 08 Nov 2015 17:45:46 GMT
Server: Werkzeug/0.10.4 Python/3.5.0

{
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE0NDcwMDQ3NDYsIm5iZiI6MTQ0NzAwNDc0NiwiZXhwIjoxNDQ3MDA1MDQ2LCJpZGVudGl0eSI6MX0.RFIeaLuvJNM9fDjFYFQ7sh_WaDVU-_aM7e46tVJzlBQ"
}

这是对没有任何角色要求的资源的成功响应(仅使用@jwt_required)这也可以按我的意愿工作:

$http GET localhost:5000/protected Authorization:'JWT eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE0NDcwMDQ3NDYsIm5iZiI6MTQ0NzAwNDc0NiwiZXhwIjoxNDQ3MDA1MDQ2LCJpZGVudGl0eSI6MX0.RFIeaLuvJNM9fDjFYFQ7sh_WaDVU-_aM7e46tVJzlBQ'
HTTP/1.0 200 OK
Content-Length: 25
Content-Type: text/html; charset=utf-8
Date: Sun, 08 Nov 2015 17:46:24 GMT
Server: Werkzeug/0.10.4 Python/3.5.0

<models.User[email=test]>

当我对需要角色的资源(例如本示例中的 admin)执行相同操作时，似乎假设我有一个页面要显示，例如/login，因为它是 headless REST API，所以我没有显示:

$ http GET localhost:5000/admin Authorization:'JWT eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE0NDcwMDQ3NDYsIm5iZiI6MTQ0NzAwNDc0NiwiZXhwIjoxNDQ3MDA1MDQ2LCJpZGVudGl0eSI6MX0.RFIeaLuvJNM9fDjFYFQ7sh_WaDVU-_aM7e46tVJzlBQ'
HTTP/1.0 302 FOUND
Content-Length: 209
Content-Type: text/html; charset=utf-8
Date: Sun, 08 Nov 2015 17:46:43 GMT
Location: http://localhost:5000/
Server: Werkzeug/0.10.4 Python/3.5.0
Set-Cookie: session=eyJfZmxhc2hlcyI6W3siIHQiOlsiZXJyb3IiLCJZb3UgZG8gbm90IGhhdmUgcGVybWlzc2lvbiB0byB2aWV3IHRoaXMgcmVzb3VyY2UuIl19XX0.CSEcAw.pjwXLeSWUsORXR-OU5AfFvq6ESg; HttpOnly; Path=/

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 3.2 Final//EN">
<title>Redirecting...</title>
<h1>Redirecting...</h1>
<p>You should be redirected automatically to target URL: <a href="/">/</a>.  If not click the link.

我知道 Flask-Security 在幕后使用 Flask-Principal 进行角色管理(@roles_required 等)，并且它与数据存储的 RoleMixin 和 UserMixin 相关联，这非常好。但是，如果没有办法让 Flask-Security 只允许资源通过而不使用我的 JWT header ，那么最好的办法是构建我自己的装饰器，它使用 Flask-Principal 来管理角色。

有人对这个有经验么？这个想法是整个前端可以并且将以我们需要的任何语言构建，这意味着它可能不是 Flask-Security 似乎正在做的 Flask 的模板/ View 。

感谢您提供任何人都可以提供的见解!

最佳答案

您希望使用 HTTP 状态代码 403 进行响应，而不是重定向。
最好的办法确实是创建自己的装饰器来管理角色，并不再使用 Flask-Security完全。Flask-Security作者has mentioned有更好的方法来保护 API，而且因为库没有维护，所以更有意义。Flask-JWT或 Flask-JWT-Extended是完成这项任务的完美人选。前者需要更多样板才能让事情顺利进行。有一个stale PR建议使用 API 来支持角色，如果您决定使用 Flask-JWT，您可以使用它来创建自己的装饰器。 .Flask-JWT-Extended docs 建议了一个更简单的解决方案，可能适合您的情况。您应该关注 custom decorators完整示例的文档部分，但简而言之，这是装饰器:

from functools import wraps

from flask import jsonify
from flask_jwt_extended import (
    verify_jwt_in_request, get_jwt_claims
)

def admin_required(fn):
    @wraps(fn)
    def wrapper(*args, **kwargs):
        verify_jwt_in_request()
        claims = get_jwt_claims()
        if claims['roles'] != 'admin':
            return jsonify(msg='Admins only!'), 403
        else:
            return fn(*args, **kwargs)
    return wrapper

此代码查找 roles在 JWT 中声明，如果不是 admin，则返回 403 响应.

关于rest - 在 Flask-JWT REST API 中使用 Flask-Security 角色，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/33597150/

26

4

0

文章推荐： javascript - 加载层内的 Jquery 脚本不起作用

文章推荐： amazon-web-services - AWS CloudFormation NestedStack 与模块

文章推荐： javascript - InnerHTML 在 setInterval 函数上消失

文章推荐： cuda - 插入用户编写的内核

rest - 非 RESTful 与 RESTful
我对编程真的很陌生，并且在理解 RESTful API 的概念时遇到了一些麻烦。我读过 REST 和 RESTful API。我已经查看了 SO 中已经提出的问题，但似乎无法更好地理解该主题。在我的
rest - 简单来说，REST，RESTFul，SOA和微服务是什么？
我以为我知道REST /“RESTFul”，restfulservices，webservices，SOA和微服务是什么，但是我遇到了许多不同的定义，我得出的结论是这些术语被过度使用，滥用或完全错误定
rest - SharePoint REST 在单个 REST 查询中获取用户标题
我有一个列表，其中有一个“人员和组”列。当我使用 REST 查询行时，我会在此列中列出用户 ID。我发现这篇文章将帮助我将每个 id 转换为标题 http://www.codeproject.com
rest - 什么是 REST 调用以及如何发送 REST 调用？
我想问一些关于 REST 调用的问题。我是 REST 调用的绿色，我想了解什么是 REST 调用以及如何使用 URL 向服务器发送 REST 调用。谁能给我一些基本的教程或链接供我引用？另外，如果我
rest - 为什么 REST Web 服务称为 REST
很难说出这里问的是什么。这个问题模棱两可、含糊不清、不完整、过于宽泛或言辞激烈，无法以目前的形式合理回答。如需帮助澄清此问题以便可以重新打开，visit the help center . 8年前关闭
rest - 什么是监视 REST 资源以进行更改的 RESTful 方式？
如果有一个 REST 资源我想监视来自其他客户端的更改或修改，那么最好(也是最 RESTful)的方法是什么？我这样做的一个想法是通过提供特定资源来保持连接打开，而不是在资源不(尚)存在时立即返回。
rest - RESTful 服务中的分页
我有一个可以返回大量项目的 RESTful API，我希望能够使用分页样式技术来限制项目数量，这是 RESTful API 中的一个好主意吗？如果有可能最好通过链接(在这种情况下为 url)或请求正
rest - RESTful 发布多个实体的策略
我仍然处于适应以 REST 方式做事的过程中。在我的情况下，客户端软件将与 RESTful 服务交互。很少，客户端会上传其整个实体数据库(每个实体序列化为大约 5kb 的 xml 块)。也许我错了
rest - REST 中的子资源和路径变量冲突？
设计一个路径解析可能有歧义的 REST API 是否被认为是不好的做法？例如: GET /animals/{id} // Returns the animal with the given ID
rest - REST 是如何无状态的？
我知道 REST 并且知道在不使用 session 的情况下创建 RESTful Web 服务，我更了解它，但我不太了解无状态的概念以及使用 REST 如何使您的应用程序可扩展有人可以解释 REST
rest - REST API的单点登录支持
我正在尝试找到解决以下问题的最佳方法:我们的应用程序是SaaS，它支持Web登录的SAML。该应用程序还公开了应该在自动化和无人值守的流程中使用的REST API，这意味着没有交互式用户可以键入凭据。
rest - REST 是否可以建立连接池？
由于 REST 是无状态的，因此传入的每个请求都不知道传入的前一个请求。在这种情况下是否可以使用连接池？如果要实现连接池，它将像标准数据库连接一样在每个请求时打开连接池并关闭它。如何实现 REST
rest - 得墨忒耳定律与 REST
得墨忒耳定律(真的应该是得墨忒耳的建议)说你不应该“穿过”一个物体去接触它们的子物体。如果您作为客户需要执行一些重要的操作，大多数情况下您使用的域模型应该支持该操作。 REST 原则上是一个愚蠢的对象
rest - 通过示例了解 REST
我唯一真正接触到 REST 的想法已经通过 Ruby on Rails 的 RESTful routing .这非常适合我使用 Rails 构建的基于 CRUD 的应用程序，但因此我对 RESTful
rest - RESTful URL的好处
有什么好处 http://www.example.com/app/servlet/cat1/cat2/item 网址超过 http://www.example.com/app/servlet?c
rest - REST 服务中的建模操作
我知道以前有人问过这类问题。我有我的问题的解决方案，我想知道我是否在任何地方破坏了 REST 或 HTTP 主体。在我的系统中，我有一个名为 member 的资源。支持通常的GET/POST/PUT
rest - REST API响应部分成功
我有一个API，可以执行一些批量处理任务。假设它确实为某些资源命名。我批量传递了7个请求，其中5个更新成功，2个失败。我的问题是如何应对。使用HTTP时，我无法同时返回成功和错误。有一个部分成功
rest - RESTful 单例资源
我来自 RPC 世界，但目前正在调查使用 REST 是否适合我的项目。至于据我了解 Wikipedia RESTful 服务的基本思想是提供对集合及其各个元素的访问。在我的情况下，服务器将是一个测量
rest - Tapestry + REST
我想将REST添加到我的挂毯项目中，因此需要知道如何实现它。有什么更好的方法？谢谢。 [编辑，从答案中复制:]我必须将GET，PUT，POST和DELETE服务添加到我的挂毯应用程序中。我看到Ta
rest - RESTful 服务中的资源级别授权
让 /users/{id}成为 RESTful 服务中的资源 url。启用基本身份验证，只有经过身份验证的用户才能访问该 url。示例场景: User_1 & User_2是经过身份验证的用户，用

首页

博学

6Ren·AI

商城

rest - 在 Flask-JWT REST API 中使用 Flask-Security 角色