使用flask实现用户管理以及权限管理

2020-12-19 04:48:40 编辑 2 阅读量:1727

在flask中实现用户管理可以有多种方式，这里使用了flask-login和flask-httpauth两种方式：
- flask-login： 主要是在login成功后，把sessionid存到cookie中，后面每次请求都会带上cookie，然后检查cookie中的信息，要注意防范csrf攻击。主要适用于前后端一体的场景
- flask-httpauth： 这里主要使用token认证（还有basic认证等等没使用），主要适用于前后端分离的场景，不需防范csrf攻击（因为不适用cookie认证，就算使用cookie也只是存储token，但使用时还需要取出token，而csrf是不能取出cookie中的值的）

权限管理可以使用Flask-Principal，也可以自己定义。这里采用自己实现的方式，使用Permission记录相关权限级别，然后绑定到Role的数据库表中， User表再绑定Role，这样user就可以有role的权限，里面的permission可以为单个，也可以为多个 admin默认拥有所有权限，所以在user的can判断中，判断isAdmin就都返回True。另外，如果要确认只有文档的所有者才有的权限，可以在路由函数中自己判断是否为文档所有者

## 一、用户管理
### 1.1 使用flask-httpauth实现用户认证
使用很简单
```
from falsk_httpauth import HTTPTokenAuth
token_auth = HTTPTokenAuth()  # 不需要init_app

# 然后写好一个钩子，这个钩子在所有被token_auth.login_required装饰的函数运行时都会被执行。然后从用户的header中获取token的信息，在通过verify_token判断此token是否合法可用
@token_auth.verify_token
def verify_token(token):
    """在所有有@auth.login_required的路由中，认证成功的g.user都会被自动赋值，认证失败的也不会进入路由中"""
    user = User.verify_auth_token(token)
    if not user:
        return False
    g.user = user
    return True

@user.route('/test_login')
@token_auth.login_required  # 有这个装饰器的就会执行verify_token
def test():
    """用账户密码或者token都可以"""
    if g.user:
        return '<h1>you are still in</h1>'
    else:
        return '<h1>you have logouted</h1>'
		
# token的生成和处理可以用到itsdangerous这个包，主要原理就是把一个字典或者字符串加密一下

@user.route('/login', methods=['GET', 'POST'])
def login():
    """获取token只允许用账号和密码，禁止用token更新token.
    这里最好不用login_required，而是自己处理一个表单，
    然后把token返回去，后续再使用token_auth"""
	# 这里加上处理登陆表单的操作
	...
    token = g.user.generate_auth_token()
    return token
```

### 1.2 使用flask-login实现认证
简单的使用也是很easy的，流程如下
```
from flask_login import LoginManager
login_manager = LoginManager() 
login_manager.init_app(app)

# 然后在定义用户表的时候加上UserMixin
from flask_login import UserMixin
class User(UserMixin, db.Model):
    # 这里是sqlalchemy的操作，具体看代码

# 然后就可以在view中使用
from flask_login import login_user, logout_user, login_required， current_user

@user.route('/login', methods=['GET', 'POST'])
def login():
    # 处理表单
	...
    login_user(user, remember_me)  # 表达验证成功后，使用login_user就可以实现登陆，flask-login会自动在header中set-cookie
	
# 需要验证登陆是，加上@login_required
@user.route('/logout')
@login_required
def logout():
    logout_user()  # 会自动处理cookie等信息
    data = '已成功退出登陆'
    return data
```

更具体的，比如将sessionid保存到服务器中等等，可以自己看源码

# 二、 权限管理
流程也很简单
```
# 定义Permission
class Permission(object):
    """权限值不是越大就越高，只是用二进制标记而已
    通过Role绑定Permission，然后User再绑定Role来完成权限控制。
    如果要精确到某个文章，再通过具体文章和用户的所属关系判断"""
    ADMIN = 1     # 0b000000000000001
    DOWNLOAD = 2  # 0b000000000000010

# 定义用户角色
class Role(db.Model):
    """在设置admin user时，需要把所有的权限值加起来赋给permisssions"""
    __tablename__ = 'roles'
    id = db.Column(db.Integer, primary_key=True)
    name = db.Column(db.String(64), unique=True)
    permissions = db.Column(db.BigInteger, default=0)
    users = db.relationship('User', backref='role', lazy='dynamic')

@staticmethod
    def insertRoles():
        roles = {
            "User": [Permission.DOWNLOAD],
            "Admin": [Permission.ADMIN]
        }
        for r in roles:
            role = Role.query.filter_by(name=r).first()
            if not role:
                role = Role(name=r)
            role.resetPermission()
            for perm in roles[r]:
                role.addPermission(perm)
            db.session.add(role)
        db.session.commit()
	
	def resetPermission(self):
        self.permissions = 0

def hasPermission(self, perm):
        return self.permissions & perm == perm

def addPermission(self, perm):
        if not self.hasPermission(perm):
            self.permissions += perm

def removePermission(self, perm):
        if not self.hasPermission(perm):
            self.permissions -= perm

# 定义user
class User(db.Model):
    __tablename__ = 'users'
    id = db.Column(db.Integer, primary_key=True)
    email = db.Column(db.String(64), unique=True, index=True)
    username = db.Column(db.String(64), unique=True, index=True)
    role_id = db.Column(db.Integer, db.ForeignKey('roles.id'))
    password_hash = db.Column(db.String(128))

def __init__(self, **kwargs):
        """注册的用户默认无role，且部分路由仅需login_required"""
        super(User, self).__init__(**kwargs)

def can(self, perm):
        """admin默认拥有所有的权限"""
        if self.role:
            return self.role.hasPermission(perm) or self.isAdmin()
        return False

def isAdmin(self):
        if self.role:
            return self.role.hasPermission(Permission.ADMIN)
        return False

# 定义一个检查权限的装饰器
def permission_required(permission):
    def decorator(f):    
        @wraps(f)        
        def mywrap(*args, **kwargs):
            if not g.user.can(permission):
                 abort(403)
            return f(*args, **kwargs) 
        return mywrap    
    return decorator
	
# 在路由中使用, permission要在login_required的下面
@user.route('/test_permission')
@token.login_required
@permission_required(Permission.DOWNLOAD)
def testPermission():
    return 'your rights ard OK'

# 添加用户权限
user = User.query.filter_by(username='your_name').first()
role = Role.query.filter_by(name='Admin').first()
user.role = role  # 赋值就是添加相应的权限
db.session.add(user)
db.session.commit()
```

## 三、其他
### 3.1 上面的源码参见[flask-user  github](https://github.com/caitinggui/flask-user)
### 3.2 需要了解一些http basic认证、cookie、csrf、xss相关的知识

---
参考：
- [1][使用Flask设计带认证token的RESTful API接口[翻译]](https://www.cnblogs.com/vovlie/p/4182814.html)
- [2][ 用 Flask 来写个轻博客 (23) — 应用 OAuth 来实现 Facebook 第三方登录](http://blog.csdn.net/jmilk/article/details/53448906)
- [3][Flask扩展系列(九)–HTTP认证](http://www.bjhee.com/flask-ext9.html)
- [4][miguelgrinberg/REST-auth](https://github.com/miguelgrinberg/REST-auth/blob/master/api.py)
- [5][Flask扩展系列(八)–用户会话管理](http://www.bjhee.com/flask-ext8.html)
- [6][基本的flask权限管理](https://segmentfault.com/a/1190000004406179)
- [7][Flask-Login](http://www.pythondoc.com/flask-login/)
- [8][ 用 Flask 来写个轻博客 (25) — 使用 Flask-Principal 实现角色权限功能](http://blog.csdn.net/jmilk/article/details/53542686)
- [9][ 用flask开发个人博客（34）—— 用户角色权限的分配](http://blog.csdn.net/hyman_c/article/details/54097878)
- [10][C#进阶系列——WebApi 身份认证解决方案：Basic基础认证](https://www.cnblogs.com/landeanfen/p/5287064.html)
- [11][Flask-SQLAlchemy 中存在的配置值](http://www.pythondoc.com/flask-sqlalchemy/config.html)
- [12][Flask-login 原理](https://www.cnblogs.com/sysnap/p/6730160.html)

使用flask实现用户管理以及权限管理

附件: