13 FastAPI集成OAuth 2.0 认证

安迪小宝

于 2025-02-11 10:24:34 发布

阅读量1.2k

点赞数 17

分类专栏： FastAPI python 文章标签： fastapi

本文链接：https://blog.csdn.net/wujianyouhun/article/details/145565746

版权

python 同时被 2 个专栏收录

51 篇文章

订阅专栏

FastAPI

18 篇文章

订阅专栏

在构建现代 Web 应用时，API 安全性和认证机制至关重要。OAuth 2.0 是一种流行的开放标准，它允许第三方应用授权用户的资源而不暴露用户的凭证（如密码）。在本文中，我们将介绍 OAuth 2.0 认证机制，并结合 FastAPI 实现 OAuth 2.0 授权流程，展示如何集成 JWT（JSON Web Token） 进行用户认证和授权。

1. 认证机制简介：API 安全和认证

在 Web 应用中，认证（Authentication）是确认用户身份的过程，而授权（Authorization）是验证用户是否有权限访问某些资源的过程。安全的 API 需要确保：

身份验证：确认请求是由合法用户发起的。
权限控制：确保用户只访问自己有权限的资源。

OAuth 2.0 是一种常用的授权框架，它使用户能够授权第三方应用访问其受保护的资源，而无需暴露自己的凭证。通过 OAuth 2.0，用户可以授权某个应用访问其数据（如 Google、GitHub 等服务），而不需要直接与该应用共享密码。

1.1 OAuth 2.0 授权流程

OAuth 2.0 授权流程分为几个关键步骤：

客户端请求授权：客户端（应用）请求用户授权，通常是通过一个授权码流程。
用户授权：用户同意授权，授权服务器向客户端返回一个授权码。
客户端交换授权码：客户端使用授权码向授权服务器请求访问令牌（Access Token）。
访问资源：客户端使用访问令牌访问受保护的资源。

1.2 JWT（JSON Web Token）

JWT 是一种常用于认证和信息交换的开放标准。它包含了三个部分：

Header：定义签名的类型和加密算法。
Payload：包含声明（Claims），如用户身份、权限等信息。
Signature：使用加密算法对 Header 和 Payload 进行签名，用于验证数据的完整性。

JWT 广泛应用于 OAuth 2.0 授权流程中作为访问令牌（Access Token）传递。它被客户端用来访问受保护的资源。

2. 实现 OAuth 2.0 授权流程

在本节中，我们将使用 FastAPI 实现 OAuth 2.0 授权流程，并使用 JWT 进行认证。我们将使用 GitHub 作为 OAuth 提供者进行演示。

2.1 安装必要的依赖

首先，我们需要安装 fastapi 和 httpx（用于异步 HTTP 请求）以及 python-dotenv（用于加载环境变量）。


pip install fastapi httpx python-dotenv

2.2 创建 GitHub OAuth 2.0 应用

在 GitHub 上注册 OAuth 应用：

访问 GitHub 开发者设置页面：GitHub Developer Settings
创建一个新的 OAuth 应用，记录下 Client ID 和 Client Secret。

将这些凭据存储在 .env 文件中：

GITHUB_CLIENT_ID=your-client-id
GITHUB_CLIENT_SECRET=your-client-secret
GITHUB_REDIRECT_URI=http://localhost:8000/callback

2.3 FastAPI 实现 OAuth 2.0 授权流程

以下是一个简单的 FastAPI 应用，实现 GitHub OAuth 2.0 授权流程，并使用 JWT 生成用户的认证令牌。

from fastapi import FastAPI, Depends, HTTPException
from fastapi.security import OAuth2PasswordBearer
from fastapi.responses import RedirectResponse
import httpx
import jwt
import os
from dotenv import load_dotenv

load_dotenv()

app = FastAPI()

# 配置环境变量
CLIENT_ID = os.getenv("GITHUB_CLIENT_ID")
CLIENT_SECRET = os.getenv("GITHUB_CLIENT_SECRET")
REDIRECT_URI = os.getenv("GITHUB_REDIRECT_URI")
GITHUB_API_URL = "https://api.github.com/user"

# JWT 配置
SECRET_KEY = "mysecretkey"
ALGORITHM = "HS256"

# OAuth 2.0 URL
AUTH_URL = f"https://github.com/login/oauth/authorize?client_id={CLIENT_ID}&redirect_uri={REDIRECT_URI}"

oauth2_scheme = OAuth2PasswordBearer(tokenUrl="token")


# 路由：重定向到 GitHub 授权页面
@app.get("/login")
async def login():
    return RedirectResponse(url=AUTH_URL)


# 路由：GitHub 回调并获取用户信息
@app.get("/callback")
async def callback(code: str):
    # 获取 GitHub 返回的 `code`，用它请求 `access_token`
    async with httpx.AsyncClient() as client:
        response = await client.post(
            "https://github.com/login/oauth/access_token",
            data={
                "client_id": CLIENT_ID,
                "client_secret": CLIENT_SECRET,
                "code": code,
                "redirect_uri": REDIRECT_URI,
            },
            headers={"Accept": "application/json"},
        )
    
    data = response.json()
    access_token = data.get("access_token")

    if not access_token:
        raise HTTPException(status_code=400, detail="GitHub authorization failed")

    # 使用 Access Token 获取 GitHub 用户信息
    async with httpx.AsyncClient() as client:
        user_info = await client.get(
            GITHUB_API_URL,
            headers={"Authorization": f"Bearer {access_token}"}
        )

    user = user_info.json()
    
    # 生成 JWT 令牌
    jwt_token = jwt.encode({"sub": user["login"]}, SECRET_KEY, algorithm=ALGORITHM)

    return {"access_token": jwt_token, "token_type": "bearer"}


# 路由：受保护的资源，只有认证用户可以访问
@app.get("/protected")
async def protected(token: str = Depends(oauth2_scheme)):
    try:
        # 解码 JWT，验证身份
        payload = jwt.decode(token, SECRET_KEY, algorithms=[ALGORITHM])
        user = payload.get("sub")
        if user is None:
            raise HTTPException(status_code=403, detail="Could not validate credentials")
        return {"message": f"Welcome, {user}!"}
    except jwt.PyJWTError:
        raise HTTPException(status_code=403, detail="Could not validate credentials")