【Python】Flask API 登录

Flask API 登录

零、起因

最近要写uniapp客户端，服务器使用的是Python的Flask框架，为了实现用户登录，在网上查到了一些Flask的扩展，其中比较简单的就是flask_httpauth（此时版本__version__ = '4.2.1dev'），其官网给出的基本示例：

from flask import Flask
from flask_httpauth import HTTPBasicAuth
from werkzeug.security import generate_password_hash, check_password_hash

app = Flask(__name__)
auth = HTTPBasicAuth()

users = {
    "john": generate_password_hash("hello"),
    "susan": generate_password_hash("bye")
}

@auth.verify_password
def verify_password(username, password):
    if username in users and \
            check_password_hash(users.get(username), password):
        return username

@app.route('/')
@auth.login_required
def index():
    return "Hello, {}!".format(auth.current_user())

if __name__ == '__main__':
    app.run()

浏览器访问127.0.0.1:5000会提示输入账号和密码才能访问页面，否则是错误提示。实现原理是基于http auth协议完成的，登录成功后不需要在浏览器里设置session，而是设置了一个请求头，拿上例第一个账号来说，在请求时添加请求头Authorization:Basic am9objpoZWxsbw==就可以完成对用户的认证。因为机制简单，这非常适合uniapp这种客户端的程序编写，于是决定采用flask_httpauth完成对用户的认证。但是其中遇到了问题，例如其设置的请求头，用Base64算法解am9objpoZWxsbw==，其解出来的值中有包含账号和密码，这样很容易造成密码泄露，因此我开始想办法把这里解出的密码换成用加盐散列算法generate_password_hash计算出的hash值。

壹、解决

通过对源码的阅读，我发现貌似没有相关函数可以支持把密码换成hash值，有另外一个类HTTPDigestAuth，但是需要存session，失去了简单的初衷。

首先API想访问受保护的函数就必须提供Authorization参数。分析发现默认的Authorization参数格式是Basic（空格）（（用户名（冒号）密码）的base64编码）于是写一个参数生成函数，API登录时首先访问这个函数验证账号密码后获取Authorization参数值。

@app.route('/api/login', methods=['POST'])
def get_auth():
    username = request.args.get('username')
    print(username)
    password = request.args.get('password')
    print(password)
    if username and password:
        if username in users and check_password_hash(users.get(username), password):
            print('登录成功')
            token = username + ':' + users.get(username)
            b64_token = base64.urlsafe_b64encode(token.encode("utf-8"))
            au = b64_token.decode("utf-8")
            return 'Basic {}'.format(au)
        else:
            return '账号或密码错误'
  else:
        return '参数不完整'

需要使用POST方法，在Query参数列表里传入username=hello&password=hello，使用ApiPost接口测试软件发起请求后获得响应：

Basic am9objpwYmtkZjI6c2hhMjU2OjE1MDAwMCRNc2NEdDNJTSQyMmZlZGNmZTQwNDc3YzAyMzhjNGVkMmIxOTZiZjg5ODIyN2IyOGNlOTcxY2IzOTU2NjE3MWI1NTJhYTgzMzM3

使用Base64解出来是

john:pbkdf2:sha256:150000$MscDt3IM$22fedcfe40477c0238c4ed2b196bf898227b28ce971cb39566171b552aa83337

用户名和密码hash值。

接下来是密码验证部分，因为存储的用户数据里的密码就是hash值，因此直接判断相等否就行：

@auth.verify_password
def verify_password(username, password):
    if username in users and users.get(username)==password:
        return username

再次使用ApiPost加上Header参数Authorization:Basic am9objpwYmtkZjI6c2hhMjU2OjE1MDAwMCRNc2NEdDNJTSQyMmZlZGNmZTQwNDc3YzAyMzhjNGVkMmIxOTZiZjg5ODIyN2IyOGNlOTcxY2IzOTU2NjE3MWI1NTJhYTgzMzM3访问127.0.0.1:5000

成功返回Hello, john!

至此，uniapp登录的基本机制解决了，并且密码安全性也得到了提高。

但是发现浏览器不能正常登录了，在flask_httpauth源码部分貌似没找到生成Authorizationd的函数。项目是用的flask_login用在网页登录部分的，因此暂时不受影响，不过在后来的flask_httpauth源码阅读中貌似发现了它可以实现把明文密码替换成密码hash下发到浏览器。稍后再做分析。

贰、重写

就一直觉得秘钥生成和认证分在不同的地方总不对，而且没有对flask_httpauth有很深的了解，生成的秘钥格式有时候不一定对得上。因此决定仿造flask_httpauth自己写一个，就暂时叫flask_apiauth吧，因为主要是为API服务的。

源文件只有一个，一个类，仿造flask_httpauth的结构：

flask_httpauth.py

# coding:utf-8
# @Time : 2021/4/24 17:08
# @Author : minuy
# @File : flask_apiauth.py  

from functools import wraps
from flask import request, g
import base64  

class ApiAuth(object):
    def __init__(self, split_character=' '):
        # 分割词，最好唯一且不出现在账号里
  self.split_character = split_character
        self.verify_password_callback = None
  self.error_content_callback = None  

 def verify_password(self, f):
        """ 验证密码回调，此回调返回的非空数据将放在current_user中 """  print('设置密码验证函数')
        self.verify_password_callback = f
        return f  

    def error_content(self, f):
        """ 错误数据回调，此回调应返回登录、验证失败回复给客户端的内容 """  print('设置错误内容函数')
        self.error_content_callback = f
        return f  

    def get_token(self, username=None, password=None):
        """ 根据账号和密码（hash）生成token，用于登录函数 """  print('生成token')
        token = username + self.split_character + password
        return base64.urlsafe_b64encode(token.encode("utf-8"))  

    def authentication_failed(self):
        """ 认证失败调用 """  print('验证密码失败')
        # 如果有错误内容处理，返回错误内容
  if self.error_content_callback:
            print('返回自定义错误数据')
            return self.error_content_callback()
        else:
            # 否则返回文字，登录失败
  return 'Login failed'  

  @property
  def current_user(self):
        """ 登录后通过这个属性获取在verify_password函数里返回的内容（用户信息） """  if hasattr(g, 'flask_api_auth_user'):
            return g.flask_api_auth_user  

    def login_required(self, f=None):
        """ 登录拦截，没有相应的请求头或者验证密码返回空值会返回错误信息 """  def login_required_internal(f):
            @wraps(f)
            def decorated(*args, **kwargs):
                auth_user = None
 if 'token' in request.headers:
                    print('token存在')
                    try:
                        # 把账号和密码hash都一起打包到base64里
  token = base64.urlsafe_b64decode(request.headers['token']).decode('utf-8')
                        print('token：', token)
                        # 账号和密码hash之间使用空格分割
  user, hash_password = token.split(self.split_character, 1)
                        print('user：', user, 'hash_password', hash_password)
                        # 如果账号和密码都存在
  if user and hash_password:
                            auth_user = {'user': user, 'hash_password': hash_password}
                    except (ValueError, KeyError):
                        # 如果解析失败或者没有token
  print('token解析失败')
                        pass
  # 没提交参数
  else:
                    # 在这里可以特别设置未登录的提醒
  return self.authentication_failed()  

                print('auth', auth_user)
                # 如果存在用户信息，开始验证密码
  if auth_user:
                    user = None
  # 如果有密码验证函数
  if self.verify_password_callback:
                        print('开始验证密码')
                        user = self.verify_password_callback(auth_user.get('user'), auth_user.get('hash_password'))
                        if user:
                            print('密码验证成功')
                            # 如果user不为空，加载
  g.flask_api_auth_user = user if user is not True \
                                else auth_user.get('user') if auth_user else None
  # 如果user为空
  if user in (False, None):
                        return self.authentication_failed()
                else:
                    # 用户信息不存在
  return self.authentication_failed()  

                return f(*args, **kwargs)
            return decorated  

        if f:
            return login_required_internal(f)
        return login_required_internal

（注释打印可以去掉一下）

完成用户token生成（登录）和用户登录拦截（认证），众所周知，退出登录即把uniapp存储的token删除。

然后是示例代码：

test.py

from flask import Flask, request
from werkzeug.security import generate_password_hash, check_password_hash  

from flask_apiauth import ApiAuth  

app = Flask(__name__)
auth = ApiAuth()  

users = {
    "john": generate_password_hash("hello"),
    "susan": generate_password_hash("bye")
}  

@app.route('/api/login', methods=['POST'])
def get_auth():
    username = request.args.get('username')
    print(username)
    password = request.args.get('password')
    print(password)
    if username and password:
        if username in users and check_password_hash(users.get(username), password):
            return auth.get_token(username, users.get(username))
        else:
            return {
                    'code': '403',
                    'data': {},
                    'message': '账号或密码错误'
  }
    else:
        return {
                'code': '403',
                'data': {},
                'message': '参数不完整'
  }  

@auth.error_content
def error_content():
    return {
        'code': '403',
        'data': {},
        'message': '请先登录'
  }  

@auth.verify_password
def verify_password(username, password):
    if username in users and users.get(username) == password:
        print('密码正确')
        # 返回的数据是下面auth.current_user拿到的
  return {'username': username, 'sex': '男'}  

@app.route('/')
@auth.login_required
def index():
    return {
        'code': '200',
        'data': {
            'name': auth.current_user.get('username'),
            'sex': auth.current_user.get('sex')
        },
        'message': '成功'
  }  

if __name__ == '__main__':
    app.run()

使用ApiPost测试，登录、拦截功能正常，目前就这么用着先吧。

开源地址：Flask-APIAuth

叁、效果