flask权限管理

同flask-login一样, flask- 也提供了一个 装饰器,

通过auth对象调用即可控制 用户名, 密码 的登录权限控制。

token权限管理

这里比较复杂的地方就是token的权限管理了, 因为此处没有拓展可用(扩展是为了通用性, 但是token不是强制使用的),都是自己踩坑弄出来的,写在博客里做一个纪录。

什么是token

token是用户信息(一般是用户idimToken,

具有唯一标识作用)的标识。对用户id进行签名加密(我一般使用模块),

例如:

from itsdangerous import TimedJSONWebSignatureSerializer as Serializer    # 此函数为User类的成员函数  def generate_auth_token(self):      s = Serializer(          current_app.config['SECRET_KEY'],  # 密钥很重要          expiration  # Token的寿命      )      # 用获取的签名加密用户id信息      return s.dumps({'id': self.id})

为什么需要token

token 一般使用在API的场景中, 此时 客户端和服务器端是分离的 ,

数据信息通过API进行传递, 他人很容易就可以拦截API并获取验证头部的 字段,

从而获取用户名和密码(一般是进行了加密, 但是很容易被破解), 这样是极不安全的。

之所以需要验证, 其实就是为了标识这个用户是谁, 而id就是一个最好的标识,

所以通过用户的 用户名和密码请求token (这样用户名和密码不会频繁被发送),

用获取的token放在API头部进行传递, 这样即使被拦截,

也不会获取用户的敏感信息(用户名, 密码), 即使token被他人使用,

也会因为token的寿命而使破坏性大大降低。

token的使用: 发送token

token需放在 头部, 采用如下形式发送:

"Basic token"

token的使用: 解析token

依然采用 模块, 这里 密钥 就很重要了,

只有与加密相同的密钥才可以解析token。

# User类的一个静态成员函数  @staticmethod  def verify_auth_token(token):      # 获取签名      s = Serializer(current_app.config["SECRET_KEY"])      try:          data = s.loads(token)  # 用签名解析token      except:          return None      # 返回该token标识的用户      return User.query.filter_by(id=data['id'])

基于token的权限管理

这里主要是区别普通用户和管理员用户, 因为有些特定的操作是只有管理员可以进行的。

1.在User类里添加管理员判断函数

def can(self, permission):      # 判断用户是否具备某权限      return self.role is not None and (self.role.permissions & permissions) = permissions    def is_adminstractor(self):      # 判断用户是否具备管理员权限      return self.can(Permission.COMMENT | Permission.MODERATE_COMMENT)

2.创建 管理员权限判断装饰器

from functools import wraps  from flask import request, g    def admin_required(f):      @wraps(f)      def decorator(*args, **kwargs):          token_header = request.headers.get('authorization')          token = token_header[6:]  # 去掉格式中的Basic          if token:              g.current_user = User.verify_auth_token(token)              if g.current_user.is_adminstractor():                  return f(*args, **kwargs)              else:                  abort(403)      return decorator

然后就可以使用 装饰器进行权限管理了,

这里有个坑提一下就是 flask- 会自己添加Basic,

所以使用该扩展的地方就不必考虑token格式的问题了。

总结

flask权限管理比较烦的地方就是如何使不同的权限管理扩展一起工作token 权限管理·(中国)官方网站,

以及使用了扩展以后对于定制自己的东西该如何写,

这时候还是最好去看使用相应扩展的源码, 然后以此为基础, 展开自己的工作吧！