Flask Basic Auth的实现

本文首发于Gevin的博客

原文链接：Flask Basic Auth的实现

未经 Gevin 授权，禁止转载

RESTful API开发中，Authentication（认证）机制的实现通常『非常必要』。Basic Auth是配合RESTful API 使用的最简单的认证方式，只需提供用户名密码即可，Basic Auth 常用于开发和测试阶段，Flask 作为一个微框架，虽然没有集成Basic Auth的实现，但相关信息均已提供，我们只需做简单封装，即可实现Basic Auth。

<a name="basic_auth"></a> 1. Basic Auth的实现

思路：利用request.authorization和装饰器

Basic Auth机制，客户端向服务器发请求时，会在请求的http header中提供用户名和密码作为认证信息，格式为"Authorization":'basic '+b64Val，其中b64Val为经过base64转码后的用户名密码信息，即b64Val=base64.b64encode('username:password')

Flask 中，客户端的请求均由request类处理，对于Basic Auth中的传来的用户名和密码，已经保存到request.authorization中，即：

    auth = request.authorization
    username = auth.username
    password = auth.password

因此，Flask中只要封装一个basic auth装饰器，然后把该装饰器应用到需要使用basic auth的API中即可：

def basic_auth_required(f):
    @wraps(f)
    def decorated(*args, **kwargs):
        auth = request.authorization
        if not auth or not check_auth(auth.username, auth.password):
            return not_authenticated()
        return f(*args, **kwargs)
    return decorated

其中，check_auth()和not_authenticated()函数实现如下：

def check_auth(username, password):
    """This function is called to check if a username /
    password combination is valid.
    """
    try:
        user = models.User.objects.get(username=username)
    except models.User.DoesNotExist:
        user = None

    if user and user.verify_password(password):
        return True

    return False

def not_authenticated():
    """Sends a 401 response that enables basic auth"""
    return Response(
    'Could not verify your access level for that URL.\n'
    'You have to login with proper credentials', 401,
    {'WWW-Authenticate': 'Basic realm="Login Required"'})

API中使用该装饰器时，即可完成API的basic auth认证机制。对function view和class based view实现分别如下：

# function View
@basic_auth_required
def test_get_current_user():
    return jsonify(username=current_user.username)

# Class Based View
class TestAPIView(MethodView):
    decorators = [basic_auth_required, ]

    def get(self):
        data = {'a':1, 'b':2, 'c':3}
        return jsonify(data)

    def post(self):
        data = request.get_json()
        return jsonify(data)

    def put(self):
        data = request.get_json()
        return jsonify(data)

    def patch(self):
        data = request.get_json()
        return jsonify(data)

<a name="flask-login"></a> 2. Basic Auth 与 Flask-login的结合

Flask-login中的current_user是一个非常好用的对象，使业务逻辑与当前用户产生交集时，用户相关信息能够信手即来。在RESTful API开发中，很多API的业务逻辑也会与认证用户发生交集，如果current_user依然有效，很多相关业务逻辑可以解耦，代码也会更加优雅。但Flask-login中，current_user默认是基于session的，API中不存在session，current_user无法使用。所幸强大的Flask-login 内置了request_loader callback，允许通过header中的信息加载当前用户，方法如下：

@login_manager.request_loader
def load_user_from_request(request):
    auth = request.authorization
    if not auth:
        return None
    try:
        user = User.objects.get(username=auth.username)
    except User.DoesNotExist:
        user = None
    return user

把上面代码放到项目中，就可以在API的业务逻辑中把basic auth 和 current user结合用起来，如：

@basic_auth_required
def test_get_current_user():
    return jsonify(username=current_user.username)