Flask API 登录
零、起因
最近要写uniapp客户端，服务器使用的是Python的Flask框架，为了实现用户登录，在网上查到了一些Flask的扩展，其中比较简单的就是flask_httpauth（此时版本__version__ = '4.2.1dev'），其官网给出的基本示例：
from flask import Flask
from flask_httpauth import HTTPBasicAuth
from werkzeug.security import generate_password_hash, check_password_hash
app = Flask(__name__)
auth = HTTPBasicAuth()
users = {
"john": generate_password_hash("hello"),
"susan": generate_password_hash("bye")
}
@auth.verify_password
def verify_password(username, password):
if username in users and
check_password_hash(users.get(username), password):
return username
@app.route('/')
@auth.login_required
def index():
return "Hello, {}!".format(auth.current_user())
if __name__ == '__main__':
app.run()
浏览器访问127.0.0.1:5000会提示输入账号和密码才能访问页面，否则是错误提示。实现原理是基于http auth协议完成的，登录成功后不需要在浏览器里设置session，而是设置了一个请求头，拿上例第一个账号来说，在请求时添加请求头Authorization:Basic am9objpoZWxsbw==就可以完成对用户的认证。因为机制简单，这非常适合uniapp这种客户端的程序编写，于是决定采用flask_httpauth完成对用户的认证。但是其中遇到了问题，例如其设置的请求头，用Base64算法解am9objpoZWxsbw==，其解出来的值中有包含账号和密码，这样很容易造成密码泄露，因此我开始想办法把这里解出的密码换成用加盐散列算法generate_password_hash计算出的hash值。
壹、解决
通过对源码的阅读，我发现貌似没有相关函数可以支持把密码换成hash值，有另外一个类HTTPDigestAuth，但是需要存session，失去了简单的初衷。
首先API想访问受保护的函数就必须提供Authorization参数。分析发现默认的Authorization参数格式是Basic（空格）（（用户名（冒号）密码）的base64编码）于是写一个参数生成函数，API登录时首先访问这个函数验证账号密码后获取Authorization参数值。
@app.route('/api/login', methods=['POST'])
def get_auth():
username = request.args.get('username')
print(username)
password = request.args.get('password')
print(password)
if username and password:
if username in users and check_password_hash(users.get(username), password):
print('登录成功')
token = username + ':' + users.get(username)
b64_token = base64.urlsafe_b64encode(token.encode("utf-8"))
au = b64_token.decode("utf-8")
return 'Basic {}'.format(au)
else:
return '账号或密码错误'
else:
return '参数不完整'
需要使用POST方法，在Query参数列表里传入username=hello&password=hello，使用ApiPost接口测试软件发起请求后获得响应：
Basic am9objpwYmtkZjI6c2hhMjU2OjE1MDAwMCRNc2NEdDNJTSQyMmZlZGNmZTQwNDc3YzAyMzhjNGVkMmIxOTZiZjg5ODIyN2IyOGNlOTcxY2IzOTU2NjE3MWI1NTJhYTgzMzM3
使用Base64解出来是
john:pbkdf2:sha256:150000$MscDt3IM$22fedcfe40477c0238c4ed2b196bf898227b28ce971cb39566171b552aa83337
用户名和密码hash值。
接下来是密码验证部分，因为存储的用户数据里的密码就是hash值，因此直接判断相等否就行：
@auth.verify_password
def verify_password(username, password):
if username in users and users.get(username)==password:
return username
再次使用ApiPost加上Header参数Authorization:Basic am9objpwYmtkZjI6c2hhMjU2OjE1MDAwMCRNc2NEdDNJTSQyMmZlZGNmZTQwNDc3YzAyMzhjNGVkMmIxOTZiZjg5ODIyN2IyOGNlOTcxY2IzOTU2NjE3MWI1NTJhYTgzMzM3访问127.0.0.1:5000
成功返回Hello, john!
至此，uniapp登录的基本机制解决了，并且密码安全性也得到了提高。
但是发现浏览器不能正常登录了，在flask_httpauth源码部分貌似没找到生成Authorizationd的函数。项目是用的flask_login用在网页登录部分的，因此暂时不受影响，不过在后来的flask_httpauth源码阅读中貌似发现了它可以实现把明文密码替换成密码hash下发到浏览器。稍后再做分析。
贰、重写
就一直觉得秘钥生成和认证分在不同的地方总不对，而且没有对flask_httpauth有很深的了解，生成的秘钥格式有时候不一定对得上。因此决定仿造flask_httpauth自己写一个，就暂时叫flask_apiauth吧，因为主要是为API服务的。
源文件只有一个，一个类，仿造flask_httpauth的结构：
flask_httpauth.py
# coding:utf-8
# @Time : 2021/4/24 17:08
# @Author : minuy
# @File : flask_apiauth.py
from functools import wraps
from flask import request, g
import base64
class ApiAuth(object):
def __init__(self, split_character=' '):
# 分割词，最好唯一且不出现在账号里
self.split_character = split_character
self.verify_password_callback = None
self.error_content_callback = None
def verify_password(self, f):
""" 验证密码回调，此回调返回的非空数据将放在current_user中 """ print('设置密码验证函数')
self.verify_password_callback = f
return f
def error_content(self, f):
""" 错误数据回调，此回调应返回登录、验证失败回复给客户端的内容 """ print('设置错误内容函数')
self.error_content_callback = f
return f
def get_token(self, username=None, password=None):
""" 根据账号和密码（hash）生成token，用于登录函数 """ print('生成token')
token = username + self.split_character + password
return base64.urlsafe_b64encode(token.encode("utf-8"))
def authentication_failed(self):
""" 认证失败调用 """ print('验证密码失败')
# 如果有错误内容处理，返回错误内容
if self.error_content_callback:
print('返回自定义错误数据')
return self.error_content_callback()
else:
# 否则返回文字，登录失败
return 'Login failed'
@property
def current_user(self):
""" 登录后通过这个属性获取在verify_password函数里返回的内容（用户信息） """ if hasattr(g, 'flask_api_auth_user'):
return g.flask_api_auth_user
def login_required(self, f=None):
""" 登录拦截，没有相应的请求头或者验证密码返回空值会返回错误信息 """ def login_required_internal(f):
@wraps(f)
def decorated(*args, **kwargs):
auth_user = None
if 'token' in request.headers:
print('token存在')
try:
# 把账号和密码hash都一起打包到base64里
token = base64.urlsafe_b64decode(request.headers['token']).decode('utf-8')
print('token：', token)
# 账号和密码hash之间使用空格分割
user, hash_password = token.split(self.split_character, 1)
print('user：', user, 'hash_password', hash_password)
# 如果账号和密码都存在
if user and hash_password:
auth_user = {'user': user, 'hash_password': hash_password}
except (ValueError, KeyError):
# 如果解析失败或者没有token
print('token解析失败')
pass
# 没提交参数
else:
# 在这里可以特别设置未登录的提醒
return self.authentication_failed()
print('auth', auth_user)
# 如果存在用户信息，开始验证密码
if auth_user:
user = None
# 如果有密码验证函数
if self.verify_password_callback:
print('开始验证密码')
user = self.verify_password_callback(auth_user.get('user'), auth_user.get('hash_password'))
if user:
print('密码验证成功')
# 如果user不为空，加载
g.flask_api_auth_user = user if user is not True
else auth_user.get('user') if auth_user else None
# 如果user为空
if user in (False, None):
return self.authentication_failed()
else:
# 用户信息不存在
return self.authentication_failed()
return f(*args, **kwargs)
return decorated
if f:
return login_required_internal(f)
return login_required_internal
（注释打印可以去掉一下）
完成用户token生成（登录）和用户登录拦截（认证），众所周知，退出登录即把uniapp存储的token删除。
然后是示例代码：
test.py
from flask import Flask, request
from werkzeug.security import generate_password_hash, check_password_hash
from flask_apiauth import ApiAuth
app = Flask(__name__)
auth = ApiAuth()
users = {
"john": generate_password_hash("hello"),
"susan": generate_password_hash("bye")
}
@app.route('/api/login', methods=['POST'])
def get_auth():
username = request.args.get('username')
print(username)
password = request.args.get('password')
print(password)
if username and password:
if username in users and check_password_hash(users.get(username), password):
return auth.get_token(username, users.get(username))
else:
return {
'code': '403',
'data': {},
'message': '账号或密码错误'
}
else:
return {
'code': '403',
'data': {},
'message': '参数不完整'
}
@auth.error_content
def error_content():
return {
'code': '403',
'data': {},
'message': '请先登录'
}
@auth.verify_password
def verify_password(username, password):
if username in users and users.get(username) == password:
print('密码正确')
# 返回的数据是下面auth.current_user拿到的
return {'username': username, 'sex': '男'}
@app.route('/')
@auth.login_required
def index():
return {
'code': '200',
'data': {
'name': auth.current_user.get('username'),
'sex': auth.current_user.get('sex')
},
'message': '成功'
}
if __name__ == '__main__':
app.run()
使用ApiPost测试，登录、拦截功能正常，目前就这么用着先吧。
开源地址：Flask-APIAuth
叁、效果
