29

我正在构建一个基于 Flask 的 REST API 并使用 Flask-JWT 来处理 JWT 身份验证。我还想使用 Flask-Security 的内置角色管理。但是，Flask-Security 的 @roles_required() 装饰器假定我在失败时显示 Flask 视图。

这是我的令牌端点（按我的意愿工作）：

$ http POST localhost:5000/auth/token username='test' password='test'
HTTP/1.0 200 OK
Content-Length: 192
Content-Type: application/json
Date: Sun, 08 Nov 2015 17:45:46 GMT
Server: Werkzeug/0.10.4 Python/3.5.0

{
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE0NDcwMDQ3NDYsIm5iZiI6MTQ0NzAwNDc0NiwiZXhwIjoxNDQ3MDA1MDQ2LCJpZGVudGl0eSI6MX0.RFIeaLuvJNM9fDjFYFQ7sh_WaDVU-_aM7e46tVJzlBQ"
}

这是对没有任何角色要求的资源的成功响应（仅使用@jwt_required）这也可以按我的意愿工作：

$http GET localhost:5000/protected Authorization:'JWT eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE0NDcwMDQ3NDYsIm5iZiI6MTQ0NzAwNDc0NiwiZXhwIjoxNDQ3MDA1MDQ2LCJpZGVudGl0eSI6MX0.RFIeaLuvJNM9fDjFYFQ7sh_WaDVU-_aM7e46tVJzlBQ'
HTTP/1.0 200 OK
Content-Length: 25
Content-Type: text/html; charset=utf-8
Date: Sun, 08 Nov 2015 17:46:24 GMT
Server: Werkzeug/0.10.4 Python/3.5.0

<models.User[email=test]>

当我对具有所需角色的资源（例如本例中的管理员）执行相同操作时，似乎假设我有一个要显示的页面，例如 /login，但我没有，因为它是一个无头 REST API：

$ http GET localhost:5000/admin Authorization:'JWT eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE0NDcwMDQ3NDYsIm5iZiI6MTQ0NzAwNDc0NiwiZXhwIjoxNDQ3MDA1MDQ2LCJpZGVudGl0eSI6MX0.RFIeaLuvJNM9fDjFYFQ7sh_WaDVU-_aM7e46tVJzlBQ'
HTTP/1.0 302 FOUND
Content-Length: 209
Content-Type: text/html; charset=utf-8
Date: Sun, 08 Nov 2015 17:46:43 GMT
Location: http://localhost:5000/
Server: Werkzeug/0.10.4 Python/3.5.0
Set-Cookie: session=eyJfZmxhc2hlcyI6W3siIHQiOlsiZXJyb3IiLCJZb3UgZG8gbm90IGhhdmUgcGVybWlzc2lvbiB0byB2aWV3IHRoaXMgcmVzb3VyY2UuIl19XX0.CSEcAw.pjwXLeSWUsORXR-OU5AfFvq6ESg; HttpOnly; Path=/

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 3.2 Final//EN">
<title>Redirecting...</title>
<h1>Redirecting...</h1>
<p>You should be redirected automatically to target URL: <a href="/">/</a>.  If not click the link.

我知道 Flask-Security 在幕后使用 Flask-Principal 进行角色管理（@roles_required 等），它与数据存储区的 RoleMixin 和 UserMixin 相关联，这非常好。但是，如果没有办法让 Flask-Security 只允许资源通过而不使用我的 JWT 标头，那么最好的选择是构建我自己的装饰器，它使用 Flask-Principal 来管理角色。

有人对这个有经验么？这个想法是整个前端可以并且将以我们需要的任何语言构建，这意味着它可能不是 Flask 的模板/视图，而 Flask-Security 似乎正在做的。

感谢您提供任何人都可以提供的见解！

4

1 回答 1

7

您可能希望使用 HTTP 状态代码 403 来响应，而不是重定向。

你最好的选择确实是创建你自己的装饰器来管理角色，而不是Flask-Security完全使用。

的作者Flask-Security 提到有更好的方法来保护 API，而且由于库没有维护，因此更有意义。

Flask-JWT或者Flask-JWT-Extended是这项任务的完美候选人。前者需要更多样板才能让事情顺利进行。有一个陈旧的 PR建议使用 API 来支持角色，如果您决定使用Flask-JWT.

文档提出了一个更简单的Flask-JWT-Extended解决方案，可能适合您的情况。您应该按照文档的自定义装饰器部分获取完整示例，但简而言之，这里是装饰器：

from functools import wraps

from flask import jsonify
from flask_jwt_extended import (
    verify_jwt_in_request, get_jwt_claims
)

def admin_required(fn):
    @wraps(fn)
    def wrapper(*args, **kwargs):
        verify_jwt_in_request()
        claims = get_jwt_claims()
        if claims['roles'] != 'admin':
            return jsonify(msg='Admins only!'), 403
        else:
            return fn(*args, **kwargs)
    return wrapper

此代码在 JWT 中查找roles声明，如果不是，则返回 403 响应admin。

于 2020-07-07T10:12:23.423 回答