【项目实训7】（问题记录）注册与登录改进

 简介

本报告分析了一个基于Flask框架的Web应用程序的用户登录和注册功能。该应用程序包括两个主要端点：

1. `/login`: 处理用户登录请求
2. `/register`: 处理用户注册请求

以下是对这两个端点的详细代码分析及其功能、潜在问题和改进建议。

 登录功能 (`/login`)

代码分析

@app.route('/login', methods=['POST'])
def login():
    username = request.form.get('username', type=str)
    password = request.form.get('password', type=str)
    user_list = models.User.query.filter_by(username=username)
    for u in user_list:
        if u.password == password:
            print(33333)
            res = {
                'code': 0,
                'msg': "登录成功",
            }
        else:
            res = {
                'code': 999,
                'msg': "登录失败"
            }
    return make_response(res)

功能描述

- 从POST请求中获取用户名和密码。
- 根据用户名在数据库中查找用户。
- 遍历查找到的用户列表，比较密码。
- 返回登录结果。潜在问题

安全问题:
    - 明文密码比较：不安全，应使用哈希算法存储和比较密码。

改进建议

- 使用哈希算法（如bcrypt）处理密码存储和比较。

from werkzeug.security import check_password_hash

@app.route('/login', methods=['POST'])
def login():
    username = request.form.get('username', type=str)
    password = request.form.get('password', type=str)
    user = models.User.query.filter_by(username=username).first()

    if user and check_password_hash(user.password, password):
        res = {
            'code': 0,
            'msg': "登录成功",
        }
    else:
        res = {
            'code': 999,
            'msg': "登录失败"
        }

    return make_response(res)

注册功能 (`/register`)

代码分析

@app.route('/register', methods=['POST'])
def register():
    username1 = request.form.get('username', type=str)
    password1 = request.form.get('password', type=str)
    role1 = request.form.get('role', type=str)
    email1 = request.form.get('email', type=str)
    user = models.User(idusername=username1, password=password1, role=role1, email=email1)
    db.session.add(user)
    db.session.commit()
    res = {
        'code': 0,
        'msg': "添加成功"
    }
    return make_response(res)

功能描述

- 从POST请求中获取用户名、密码、角色和邮箱。
- 创建一个新的用户对象，并将其添加到数据库中。
- 返回注册结果。

潜在问题

1. 安全问题:
    - 密码明文存储：不安全，应使用哈希算法存储密码。

2. 数据完整性:
    - 没有检查用户名是否已经存在于数据库中，可能导致重复用户。

改进建议

- 使用哈希算法存储密码。
- 检查用户名的唯一性，防止重复注册。

from werkzeug.security import generate_password_hash

@app.route('/register', methods=['POST'])
def register():
    username1 = request.form.get('username', type=str)
    password1 = request.form.get('password', type=str)
    role1 = request.form.get('role', type=str)
    email1 = request.form.get('email', type=str)

    # 检查用户名和邮箱是否已存在
    if models.User.query.filter_by(username=username1).first():
        res = {
            'code': 999,
            'msg': "用户名已存在"
        }
        return make_response(res)

    hashed_password = generate_password_hash(password1)
    user = models.User(username=username1, password=hashed_password, role=role1, email=email1)
    db.session.add(user)
    db.session.commit()
    res = {
        'code': 0,
        'msg': "添加成功"
    }
    return make_response(res)

总结

上述代码提供了基本的用户登录和注册功能，但存在若干安全和逻辑问题。通过改进密码处理机制和增强数据完整性检查，可以显著提升应用的安全性和可靠性。希望这份报告对您理解和改进代码有所帮助。