高级 Python Web 应用中的身份验证与授权机制解析

于 2024-09-13 20:33:00 发布
阅读量699 收藏 4
点赞数 21
分类专栏： Python Web 文章标签： python 前端 数据库 数据结构 架构 服务器 开发语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_52392194/article/details/142219573
版权

高级 Python Web 应用中的身份验证与授权机制解析

目录

  1. 🍪 Cookie 和 Session 机制
  2. 🔑 JWT（JSON Web Token）及其在 FastAPI 和 Django 中的应用
  3. 🔐 OAuth2 和 OpenID Connect 的实现
  4. 🛡️ Django 中的用户认证与权限系统
  5. 🚫 CSRF/XSS 防护

🍪 1. Cookie 和 Session 机制

在 Web 应用中，身份验证和用户状态管理是至关重要的功能。Cookie 和 Session 是最常用的两种状态管理机制，它们各自有不同的特性和应用场景。

📌 Cookie 和 Session 的工作原理

Cookie 是服务器发送到客户端的一小段数据，客户端会在每次请求时将其带回。Cookie 通常用于保存用户的登录状态、偏好设置等。

Session 是服务器端存储的用户数据，客户端通过一个唯一的 Session ID 来访问这些数据。Session ID 通常以 Cookie 的形式存储在客户端。

Cookie 的生命周期由其设置的过期时间决定，浏览器会在过期后自动删除 Cookie。而 Session 的生命周期则依赖于服务器配置，通常会在用户关闭浏览器时失效或在一段时间后过期。

📌 在 Flask 中实现 Cookie 和 Session

Flask 是一个轻量级的 Python Web 框架，它对 Cookie 和 Session 的支持非常直观。以下是如何在 Flask 中实现 Cookie 和 Session 的代码示例：

from flask import Flask, session, request, redirect, url_for

app = Flask(__name__)
app.secret_key = 'supersecretkey'  # 用于加密 Session 数据

@app.route('/set_cookie')
def set_cookie():
    response = redirect(url_for('get_cookie'))
    response.set_cookie('my_cookie', 'cookie_value')
    return response

@app.route('/get_cookie')
def get_cookie():
    cookie_value = request.cookies.get('my_cookie')
    return f'Cookie Value: {cookie_value}'

@app.route('/set_session')
def set_session():
    session['user'] = 'John Doe'
    return redirect(url_for('get_session'))

@app.route('/get_session')
def get_session():
    user = session.get('user', 'Not logged in')
    return f'Session User: {user}'

if __name__ == '__main__':
    app.run(debug=True)
🧩 代码解析
  1. 设置 Cookie：response.set_cookie('my_cookie', 'cookie_value') 用于在响应中设置一个名为 my_cookie 的 Cookie。
  2. 读取 Cookie：request.cookies.get('my_cookie') 从请求中读取名为 my_cookie 的 Cookie 值。
  3. 设置 Session：session['user'] = 'John Doe' 将用户信息存储在服务器端的 Session 中。
  4. 读取 Session：session.get('user', 'Not logged in') 从 Session 中获取用户信息，若不存在则返回默认值 'Not logged in'。
🚀 运行示例

启动 Flask 应用并访问 /set_cookie 和 /set_session 路由，可以设置和查看 Cookie 和 Session 的值。这展示了如何使用 Flask 管理用户的会话数据以及客户端的 Cookie。

🔑 2. JWT（JSON Web Token）及其在 FastAPI 和 Django 中的应用

JWT（JSON Web Token）是一种用于安全传输信息的标准格式。它在身份验证和信息交换中扮演着重要角色，尤其是在分布式系统和微服务架构中。JWT 是一种自包含的令牌，它可以在网络中安全地传输信息。

📌 JWT 的结构和工作原理

JWT 由三部分组成：

  1. Header（头部）：包含令牌的类型（JWT）和所使用的加密算法。
  2. Payload（负载）：包含声明（claims），这些声明可以是关于实体的信息以及元数据。负载部分是可以被解码的，但未加密。
  3. Signature（签名）：用于验证消息的完整性和来源。签名部分是使用 Header 中指定的算法对 Header 和 Payload 进行签名生成的。

JWT 的传输过程通常包括以下步骤：

  1. 客户端登录后，服务器生成一个 JWT，并将其返回给客户端。
  2. 客户端将 JWT 存储在本地（通常是 Cookie 或 Local Storage 中）。
  3. 在后续的请求中，客户端将 JWT 附加到请求头中，服务器通过验证 JWT 来确认用户的身份。
📌 在 FastAPI 中实现 JWT

FastAPI 提供了对 JWT 的良好支持，以下是如何在 FastAPI 中实现 JWT 认证的示例：

from fastapi import FastAPI, Depends, HTTPException
from pydantic import BaseModel
from jose import JWTError, jwt
from typing import Optional

app = FastAPI()

SECRET_KEY = "mysecretkey"
ALGORITHM = "HS256"

class User(BaseModel):
    username: str

def create_jwt_token(data: dict):
    return jwt.encode(data, SECRET_KEY, algorithm=ALGORITHM)

def decode_jwt_token(token: str):
    try:
        return jwt.decode(token, SECRET_KEY, algorithms=[ALGORITHM])
    except JWTError:
        raise HTTPException(status_code=401, detail="Invalid token")

@app.post("/token")
def generate_token(user: User):
    token = create_jwt_token({"sub": user.username})
    return {"access_token": token}

@app.get("/protected")
def protected_route(token: str = Depends(decode_jwt_token)):
    return {"message": "Protected route accessed", "user": token['sub']}
🧩 代码解析
  1. 生成 JWT：create_jwt_token(data) 函数创建一个 JWT 令牌，其中 data 包含用户信息。
  2. 解码 JWT：decode_jwt_token(token) 函数解码 JWT 并验证其有效性。
  3. 生成令牌接口：/token 路由接受用户信息并返回 JWT 令牌。
  4. 受保护路由：/protected 路由要求提供有效的 JWT 令牌进行访问。
🚀 运行示例

运行 FastAPI 应用，访问 /token 路由以获取 JWT，然后使用返回的令牌访问 /protected 路由。此示例展示了如何在 FastAPI 中集成 JWT 认证。

📌 在 Django 中实现 JWT

Django 通过第三方库 djangorestframework-simplejwt 提供了对 JWT 的支持。以下是如何在 Django 中实现 JWT 的示例：

  1. 安装 djangorestframework-simplejwt：

    pip install djangorestframework-simplejwt

  2. 更新 settings.py 以包含 JWT 配置：

    REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': (
        'rest_framework_simplejwt.authentication.JWTAuthentication',
    ),
}

  3. 在 urls.py 中添加 JWT 认证路由：

    from django.urls import path
from rest_framework_simplejwt.views import TokenObtainPairView, TokenRefreshView

urlpatterns = [
    path('api/token/', TokenObtainPairView.as_view(), name='token_obtain_pair'),
    path('api/token/refresh/', TokenRefreshView.as_view(), name='token_refresh'),
]

  4. 保护视图使用 JWT 认证：

    from rest_framework.permissions import IsAuthenticated
from rest_framework.views import APIView
from rest_framework.response import Response

class ProtectedView(APIView):
    permission_classes = [IsAuthenticated]

    def get(self, request):
        return Response({"message": "Protected view accessed"})
🧩 代码解析
  1. JWT 配置：通过 REST_FRAMEWORK 设置 JWT 认证类。
  2. JWT 路由：使用 TokenObtainPairView 和 TokenRefreshView 提供 JWT 生成和刷新功能。
  3. 受保护视图：使用 IsAuthenticated 权限类保护视图，确保只有通过 JWT 认证的用户可以访问。
🚀 运行示例

启动 Django 开发服务器，并访问 /api/token/ 路由以获取 JWT，然后访问受保护的 API 路由以验证 JWT 功能。此示例展示了如何在 Django 中使用 JWT 进行身份验证。

🔐 3. OAuth2 和 OpenID Connect 的实现

OAuth2 和 OpenID Connect 是现代应用程序中常用的授权和认证协议。OAuth2 专注于授权，而 OpenID Connect 在 OAuth2 的基础上提供了身份认证功能。

📌 OAuth2 协议概述

OAuth2 是一种授权框架，允许第三方应用程序代表用户访问资源。OAuth2 定义了四种授权流程：

  1. 授权码流程：适用于 Web 应用，用户通过授权服务器获取授权码，然后通过授权码获取访问令牌。
  2. 隐式流程：适用于单页应用，用户直接获得访问令牌。
  3. 密码凭证流程：适用于受

信任的应用，用户提供用户名和密码以获取访问令牌。
4. 客户端凭证流程：适用于服务对服务的访问，客户端使用其凭证获取访问令牌。

📌 OpenID Connect 协议概述

OpenID Connect 是在 OAuth2 的基础上增加了身份验证的协议。它引入了 ID Token，用于携带用户的身份信息。OpenID Connect 使用 OAuth2 的授权码流程来获取 ID Token 和访问令牌。

📌 在 FastAPI 中实现 OAuth2 和 OpenID Connect

以下是 FastAPI 中集成 OAuth2 和 OpenID Connect 的示例：

from fastapi import FastAPI, Depends, HTTPException
from fastapi.security import OAuth2AuthorizationCodeBearer
from pydantic import BaseModel
from typing import Optional

app = FastAPI()

oauth2_scheme = OAuth2AuthorizationCodeBearer(
    authorizationUrl="https://example.com/auth",
    tokenUrl="https://example.com/token"
)

class User(BaseModel):
    username: str

async def get_current_user(token: str = Depends(oauth2_scheme)):
    # 模拟用户获取
    if token == "valid_token":
        return User(username="John Doe")
    else:
        raise HTTPException(status_code=401, detail="Invalid token")

@app.get("/user")
async def get_user(current_user: User = Depends(get_current_user)):
    return {"user": current_user.username}
🧩 代码解析
  1. OAuth2AuthorizationCodeBearer：使用 OAuth2 授权码流程。
  2. get_current_user：验证传入的令牌，模拟用户信息获取。
  3. 受保护路由：/user 路由使用 Depends(get_current_user) 保护，确保只有合法用户可以访问。
🚀 运行示例

运行 FastAPI 应用，并通过 OAuth2 授权流程获取访问令牌，然后访问 /user 路由验证用户信息。此示例展示了如何在 FastAPI 中实现 OAuth2 和 OpenID Connect。

📌 在 Django 中实现 OAuth2 和 OpenID Connect

Django 可以通过第三方库 django-oauth-toolkit 实现 OAuth2 支持。以下是配置 OAuth2 的步骤：

  1. 安装 django-oauth-toolkit：

    pip install django-oauth-toolkit

  2. 更新 settings.py：

    INSTALLED_APPS = [
    # 其他应用
    'oauth2_provider',
]

  3. 在 urls.py 中添加 OAuth2 路由：

    from django.urls import path, include
from oauth2_provider.views import TokenView, RevokeTokenView

urlpatterns = [
    path('o/token/', TokenView.as_view(), name='token'),
    path('o/revoke_token/', RevokeTokenView.as_view(), name='revoke_token'),
]

  4. 配置 OAuth2 认证类：

    from rest_framework.permissions import IsAuthenticated
from rest_framework.authentication import OAuth2Authentication
from rest_framework.views import APIView
from rest_framework.response import Response

class ProtectedView(APIView):
    authentication_classes = [OAuth2Authentication]
    permission_classes = [IsAuthenticated]

    def get(self, request):
        return Response({"message": "Protected view accessed"})
🧩 代码解析
  1. TokenView 和 RevokeTokenView：提供 OAuth2 令牌生成和撤销功能。
  2. OAuth2Authentication：在受保护视图中使用 OAuth2 认证类。
🚀 运行示例

启动 Django 开发服务器，使用 OAuth2 认证生成令牌，并访问受保护的 API 路由以验证 OAuth2 实现。此示例展示了如何在 Django 中集成 OAuth2 和 OpenID Connect。

🛡️ 4. Django 中的用户认证与权限系统

Django 提供了一个强大的用户认证系统，包含用户模型、权限系统和认证视图。通过 Django 的用户认证系统，可以轻松实现用户登录、注册和权限管理。

📌 配置用户认证系统
  1. 创建用户模型：使用 Django 内置的 User 模型或自定义用户模型。
  2. 认证视图：使用 Django 提供的视图处理用户认证。
📌 使用 Django 内置用户模型
from django.contrib.auth.models import User
from django.contrib.auth import authenticate, login

def user_login(request):
    username = request.POST['username']
    password = request.POST['password']
    user = authenticate(username=username, password=password)
    if user is not None:
        login(request, user)
        return HttpResponse("Logged in successfully")
    else:
        return HttpResponse("Invalid credentials")
📌 权限管理

Django 提供了内置的权限系统，可以定义用户组和权限，并将权限分配给用户。

from django.contrib.auth.models import Permission

# 创建一个新的权限
permission = Permission.objects.create(
    codename='can_view_reports',
    name='Can view reports',
    content_type=content_type,
)

# 分配权限给用户
user.user_permissions.add(permission)
🧩 代码解析
  1. 用户认证：authenticate 和 login 方法用于验证用户身份和登录。
  2. 权限管理：通过 Permission 模型定义和分配权限。
🚀 运行示例

创建用户、配置权限，并测试用户登录和权限分配功能，展示 Django 强大的用户管理系统。

🚫 5. CSRF/XSS 防护

在 Web 开发中，防护跨站请求伪造（CSRF）和跨站脚本攻击（XSS）是保证应用安全的关键。

📌 CSRF 防护

CSRF 是一种攻击方式，攻击者通过伪造请求来执行未经授权的操作。Django 提供了内置的 CSRF 防护机制。

from django.middleware.csrf import CsrfViewMiddleware
from django.shortcuts import render

# 启用 CSRF 中间件
MIDDLEWARE = [
    # 其他中间件
    'django.middleware.csrf.CsrfViewMiddleware',
]

# 在模板中使用 CSRF token
<form method="post">
    {% csrf_token %}
    <input type="submit" value="Submit">
</form>
📌 XSS 防护

XSS 攻击通过在网页中注入恶意脚本来窃取信息或破坏应用。Django 模板引擎通过自动转义用户输入来防护 XSS 攻击。

<!-- Django 模板自动转义 -->
<p>{{ user_input }}</p>
🧩 代码解析
  1. CSRF 防护：启用 CsrfViewMiddleware 和在表单中使用 {% csrf_token %} 进行 CSRF 防护。
  2. XSS 防护：Django 模板引擎自动转义用户输入，防止 XSS 攻击。
🚀 运行示例

配置 Django CSRF 和 XSS 防护功能，并测试应用的安全性，确保用户数据的安全和应用的稳健性。

Switch616
关注
专栏目录
DRF 3.x Authentication 身份验证使用示例和配置方法
Mr数据杨
01-26 3万+
自定义身份验证方案是继承 `BaseAuthentication并重写方法，身份验证成功则会返回一个元组数据(user, auth)`，否则会返回 None。以下是一个自定义身份验证方案的示例，它将对名为X-USERNAME的自定义请求标头中的用户名所指定的用户进行身份验证。
web3 的身份验证之以太坊签名消息
小王的技术库
08-23 4935
对于 DApp 或者 Web3 的开发，设计的用户验证通常的机制就是通过签名消息来实现。
Django--基于Python的Web应用框架
热门推荐
.
09-27 1万+
Django 是一个由 Python 编写的一个开放源代码的 Web 应用框架。使用 Django，只要很少的代码，Python 的程序开发人员就可以轻松地完成一个正式网站所需要的大部分内容，并进一步开发出全功能的 Web 服务 Django 本身基于 MVC 模型，即 Model（模型）+ View（视图）+ Controller（控制器）设计模式，MVC 模式使后续对程序的修改和扩展简化，并且使程序某一部分的重复利用成为可能。低耦合开发快捷部署方便可重用性高维护成本低...
深入理解Python中的JSON模块：基础大总结与实战代码解析
一键难忘的博客
02-27 4297
在Python中，JSON（JavaScript Object Notation）模块是处理JSON数据的重要工具之一。JSON是一种轻量级的数据交换格式，广泛应用于Web开发、API通信等领域。本文将深入探讨JSON模块的基础知识，并通过实战代码解析来帮助读者更好地理解和运用该模块。
Web应用渗透测试系统（Python）
毕业作品网站
11-04 5489
本项目命名为Sec-Tools，是一款基于的多功能 Web 应用渗透测试系统，包含漏洞检测、目录识别、端口扫描、指纹识别、域名探测、旁站探测、信息泄露检测等功能。
Python中Web开发-FastAPI框架
若不知道要驶向哪个码头，那么任何风都不会是顺风。
05-26 1079
大家好，在当今Web开发领域，高性能、易用性和可扩展性是开发者们追求的目标。Python作为一种流行的编程语言，在Web开发领域也有着强大的影响力。而在众多的Python Web框架中，FastAPI凭借其快速、现代和易用的特性，成为了开发者们的首选之一。本文将深入探讨FastAPI框架的特性、用法和实践。
Flask中的JWT认证构建安全的用户身份验证系统
一键难忘的博客
04-20 2770
JWT是一种基于JSON的开放标准（RFC 7519），用于在网络应用程序之间传输信息。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。。头部（Header）：包含了JWT的类型（例如，JWT）和使用的加密算法（例如，HMAC SHA256或RSA）。载荷（Payload）：包含了声明，例如用户ID和角色。它也可以包含其他自定义的声明。签名（Signature）：用于验证JWT的完整性，以确保未被篡改。
【Python Web】30个Python Web开发框架介绍
小哲的博客
02-03 4871
收藏：30个Python Web开发框架介绍1. Bobo2. Bottle3. CherryPy4. Cyclone5. Flask6. Itty-Bitty7. Klein8. Morepath9. ObjectWeb10. Pecan11. Pyramid12. Tornado13. web.py14. Wheezy Web15. Falcon16. web2py17. Quixote18. API Star19. Twisted20. Sanic21. Japronto22. TurboGears2
python web开发基础
野猫炫的博客
05-09 1万+
Web 开发：构建、创建和维护网站。Web 开发涉及前端，即与客户端交互的所有内容，以及包含业务逻辑并与数据库交互的后端。 网站是存储在服务器上的文件，服务器是托管网站的计算机。这些服务器连接到一个称为 Internet 的网络。访问这些网站的计算机称为“客户端”。 要访问网站需要知道其IP地址，IP 地址是一串唯一的数字。每个设备都有一个 IP 地址。可以在控制台cmd输入命令ipconfig获取自己的ip。也可以使用其 IP 地址访问网站，但大多数使用域名或通过搜索引擎访问网站。 超文本传输​​协
Flask中的Blueprints：模块化和组织大型Web应用
一键难忘的博客
03-18 2691
在构建大型Web应用时，良好的组织结构和模块化是至关重要的。Flask提供了Blueprints（蓝图）这一功能，可以帮助我们更有效地组织应用程序的路由和视图。本文将探讨Flask中Blueprints的使用方法以及如何通过蓝图来实现Web应用的模块化。
Python web接口开发与测试
11-02
Web接口的安全性不容忽视，涉及的身份验证、授权、防止SQL注入和XSS攻击等。例如，使用OAuth2进行授权，使用CSRF令牌防止跨站请求伪造，使用HTTPS保障通信安全。熟悉这些安全实践，可以帮助我们构建更健壮的Web服务...
PythonWeb从入门到实战教程之5URL路由与视图.zip
11-01
通过这个“PythonWeb从入门到实战教程之5URL路由与视图”教程，你可以深入了解这两个核心概念，并动手实践，从而提升你的Python Web开发技能。记得理论学习与实际操作相结合，才能更好地掌握这些知识。
Python-SocialAuthDjangoTutorial适合初学者的DjangoSNS身份验证教程
08-11
对于初学者来说，这是一条了解现代Web应用程序身份验证机制的绝佳路径。让我们逐步解析这个过程。 首先，我们需要了解Django。Django是一个高级的Python Web框架，它鼓励快速开发并坚持“干”(DRY，Don't Repeat ...
Python 基于jwt实现认证机制流程解析
09-16
JWT（JSON Web Token）是一种用于用户身份验证的技术，在现代Web应用开发中被广泛采用。它通过创建一个包含用户信息的令牌来实现认证，这个令牌可以在客户端与服务器之间安全地传递。 **JWT的优点：** 1. **实现...
Django_Basics:使用python Web框架Django开发演示Web应用程序
04-11
- Django提供了许多内置功能，如身份验证和授权、缓存、电子邮件服务、国际化和本地化、管理界面等。 - 还有丰富的第三方库，如Django REST framework用于API开发，Django Channels支持WebSocket通信。 在"Django...
【python】—— Python爬虫实战：爬取珠海市2011-2023年天气数据并保存为CSV文件
weixin_63106307的博客
09-05 1202
本文将介绍如何使用Python编写一个简单的爬虫程序，以爬取珠海市2011年至2023年的天气数据，并将这些数据保存为CSV文件。
蒙特卡罗方法——布丰投针实验近似计算圆周率python代码实现
最新发布
2301_79376014的博客
09-09 426
蒙特卡罗——布丰实验
Python实现多线程、多进程及协程
qq_42568323的博客
09-09 1030
本文详细介绍了 Python 中多线程、多进程和协程的并发模型及其实现方式，并通过具体场景演示了如何使用面向对象思想实现这些模型。在实际应用中，应根据任务的类型和需求选择合适的并发模型，从而优化程序的性能和资源利用率。本文将详细介绍 Python 中的多线程、多进程和协程的概念及其实现方式，并通过具体场景展示如何在 Python 中使用面向对象的思想实现这些并发模型。接下来，我们通过一个计算密集型任务的示例来演示多进程的实现：计算一系列大数字的阶乘。主程序中创建并启动了多个计算进程，并使用。
pip-tools：打造可重复、可控的 Python 开发环境，解决依赖关系，让代码更稳定
weixin_53707653的博客
09-09 798
是一个强大且易用的工具，可以帮助开发者轻松管理 Python 项目的依赖关系，确保代码的可重复性和稳定性。是一组命令行工具，旨在简化 Python 依赖关系的管理，确保项目环境的稳定性和可重复性。可以确保每次构建环境时都使用相同的依赖项版本，从而避免由于依赖项版本不一致导致的错误，提高代码可重复性和稳定性。自动化了依赖关系管理过程，节省了开发者的时间和精力，可以将更多时间投入到实际的开发工作中。文件中的信息，更新虚拟环境，安装、升级或卸载所需的软件包，确保虚拟环境与。命令可以从你的项目配置文件中生成。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Switch616

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值