8.1 Flask的认证扩展

优秀的 Python 认证包很多,但没有一个能实现所有功能。本章介绍的认证方案使用了多个

包,并编写了胶水代码让其良好协作。


本章使用的包列表如下:

• Flask-Login:管理已登录用户的用户会话。

• Werkzeug:计算密码散列值并进行核对。

• itsdangerous:生成并核对加密安全令×××。


除了认证相关的包之外,本章还用到如下常规用途的扩展。

• Flask-Mail:发送与认证相关的电子邮件。

• Flask-Bootstrap:HTML 模板。

• Flask-WTF:Web 表单。


8.2 密码安全性

设计 Web 程序时,人们往往会高估数据库中用户信息的安全性。如果×××者***服务器获

取了数据库,用户的安全就处在风险之中,这个风险比你想象的要大。众所周知,大多数

用户都在不同的网站中使用相同的密码,因此,即便不保存任何敏感信息,×××者获得存

储在数据库中的密码之后,也能访问用户在其他网站中的账户。


若想保证数据库中用户密码的安全,关键在于不能存储密码本身,而要存储密码的散列

值。计算密码散列值的函数接收密码作为输入,使用一种或多种加密算法转换密码,最终

得到一个和原始密码没有关系的字符序列。核对密码时,密码散列值可代替原始密码,因

为计算散列值的函数是可复现的:只要输入一样,结果就一样。


使用Werkzeug实现密码散列


Werkzeug 中的 security 模块能够很方便地实现密码散列值的计算。这一功能的实现只需要

两个函数,分别用在注册用户和验证用户阶段。


• generate_password_hash(password, method=pbkdf2:sha1, salt_length=8):这个函数将

原始密码作为输入,以字符串形式输出密码的散列值,输出的值可保存在用户数据库中。

method 和 salt_length 的默认值就能满足大多数需求。


• check_password_hash(hash, password):这个函数的参数是从数据库中取回的密码散列

值和用户输入的密码。返回值为 True 表明密码正确。


示例 8-1 app/models.py:在 User 模型中加入密码散列

from werkzeug.security import generate_password_hash, check_password_hash

class User(db.Model):
     # ...  # 定义字段
     password_hash = db.Column(db.String(128))
     
     
     @property
     def password(self):
        raise AttributeError('password is not a readable attribute')
     
     @password.setter
     def password(self, password):
        self.password_hash = generate_password_hash(password)
     
     def verify_password(self, password):
        return check_password_hash(self.password_hash, password)


计算密码散列值的函数通过名为 password 的只写属性实现。设定这个属性的值时,赋值

方法会调用 Werkzeug 提供的 generate_password_hash() 函数,并把得到的结果赋值给

password_hash 字段。如果试图读取 password 属性的值,则会返回错误,原因很明显,因

为生成散列值后就无法还原成原来的密码了。


verify_password 方 法 接 受 一 个 参 数( 即 密 码 ), 将 其 传 给 Werkzeug 提供的 check_

password_hash() 函数,和存储在 User 模型中的密码散列值进行比对。如果这个方法返回

True,就表明密码是正确的。


密码散列功能已经完成,可以在 shell 中进行测试:

(venv) $ python manage.py shell
>>> u = User()
>>> u.password = 'cat'
>>> u.password_hash
'pbkdf2:sha1:1000$duxMk0OF$4735b293e397d6eeaf650aaf490fd9091f928bed'
>>> u.verify_password('cat')
True
>>> u.verify_password('dog')
False
>>> u2 = User()
>>> u2.password = 'cat'
>>> u2.password_hash
'pbkdf2:sha1:1000$UjvnGeTP$875e28eb0874f44101d6b332442218f66975ee89'


注意,即使用户 u 和 u2 使用了相同的密码,它们的密码散列值也完全不一样。为了确保 这个功能今后可持续使用



8.3 创建认证蓝本

我们在第 7 章介绍过蓝本,把创建程序的过程移入工厂函数后,可以使用蓝本在全局作用

域中定义路由。与用户认证系统相关的路由可在 auth 蓝本中定义。对于不同的程序功能,

我们要使用不同的蓝本,这是保持代码整齐有序的好方法。


auth 蓝本保存在同名 Python 包中。蓝本的包构造文件创建蓝本对象,再从 views.py 模块

中引入路由,代码如示例 8-3 所示。


示例 8-3 app/auth/__init__.py:创建蓝本

from flask import Blueprint
auth = Blueprint('auth', __name__)
from . import views

app/auth/views.py 模块引入蓝本,然后使用蓝本的 route 修饰器定义与认证相关的路由,

如示例 8-4 所示。这段代码中添加了一个 /login 路由,渲染同名占位模板。


示例 8-4 app/auth/views.py:蓝本中的路由和视图函数

from flask import render_template
from . import auth


@auth.route('/login')
def login():
   return render_template('auth/login.html')


注意,为 render_template() 指定的模板文件保存在 auth 文件夹中。这个文件夹必须在

app/templates 中创建,因为 Flask 认为模板的路径是相对于程序模板文件夹而言的。为避

免与 main 蓝本和后续添加的蓝本发生模板命名冲突,可以把蓝本使用的模板保存在单独的

文件夹中。


我们也可将蓝本配置成使用其独立的文件夹保存模板。如果配置了多个模板

文件夹,render_template() 函数会首先搜索程序配置的模板文件夹,然后再

搜索蓝本配置的模板文件夹。


auth 蓝本要在 create_app() 工厂函数中附加到程序上,如示例 8-5 所示。


示例 8-5 app/__init__.py:附加蓝本

def create_app(config_name):
     # ... # 原先的其他代码
     from .auth import auth as auth_blueprint
     app.register_blueprint(auth_blueprint, url_prefix='/auth')
     return app


注册蓝本时使用的 url_prefix 是可选参数。


如果使用了这个参数,注册后蓝本中定义的所有路由都会加上指定的前缀,即这个例子中的 /auth。

例如,/login 路由会注册成 /auth/login,在开发 Web 服务器中,完整的 URL 就变成了 http://localhost:5000/auth/login。


8.4 使用Flask-Login认证用户

用户登录程序后,他们的认证状态要被记录下来,这样浏览不同的页面时才能记住这个状

态。Flask-Login 是个非常有用的小型扩展,专门用来管理用户认证系统中的认证状态,且

不依赖特定的认证机制。


使用之前,我们要在虚拟环境中安装这个扩展:

(venv) $ pip install flask-login


8.4.1 准备用于登录的用户模型


要想使用 Flask-Login 扩展,程序的 User 模型必须实现几个方法。需要实现的方法如表 8-1

所示:



表8-1 Flask-Login要求实现的用户方法


方  法                                         说  明

is_authenticated()              如果用户已经登录,必须返回 True,否则返回 False

is_active()                           如果允许用户登录,必须返回 True,否则返回 False。如果要禁用账户,可以返回 False

is_anonymous()                 对普通用户必须返回 False

get_id()                              必须返回用户的唯一标识符,使用 Unicode 编码字符串



这 4 个方法可以在模型类中作为方法直接实现,不过还有一种更简单的替代方案。FlaskLogin

提供了一个 UserMixin 类,其中包含这些方法的默认实现,且能满足大多数需求。


修改后的 User 模型如示例 8-6 所示。


示例 8-6 app/models.py:修改 User 模型,支持用户登录

from flask.ext.login import UserMixin

class User(UserMixin, db.Model):
     __tablename__ = 'users'
     id = db.Column(db.Integer, primary_key = True)
     email = db.Column(db.String(64), unique=True, index=True)
     username = db.Column(db.String(64), unique=True, index=True)
     password_hash = db.Column(db.String(128))
     role_id = db.Column(db.Integer, db.ForeignKey('roles.id'))

注意,示例中同时还添加了 email 字段。在这个程序中,用户使用电子邮件地址登录,因

为相对于用户名而言,用户更不容易忘记自己的电子邮件地址。



Flask-Login 在程序的工厂函数中初始化,如示例 8-7 所示。

示例 8-7 app/__init__.py:初始化 Flask-Login

from flask.ext.login import LoginManager


login_manager = LoginManager()
"""
    LoginManager 对象的session_protection 属性可以设为None、'basic' 或'strong',以提
    供不同的安全等级防止用户会话遭篡改。设为'strong' 时,Flask-Login 会记录客户端IP
    地址和浏览器的用户代理信息,如果发现异动就登出用户.
"""
login_manager.session_protection = 'strong' 

# login_view 属性设置登录页面的端点。
login_manager.login_view = 'auth.login' 

def create_app(config_name):
    # ...
    login_manager.init_app(app)
    # ...

回忆一下,登录路由在蓝本中定义,因此要在前面加上蓝本的名字。


最后,Flask-Login 要求程序实现一个回调函数,使用指定的标识符加载用户。这个函数的 定义如示例 8-8 所示。


示例 8-8 app/models.py:加载用户的回调函数

from . import login_manager

@login_manager.user_loader
def load_user(user_id):
   return User.query.get(int(user_id))


加载用户的回调函数接收以 Unicode 字符串形式表示的用户标识符。如果能找到用户,这

个函数必须返回用户对象;否则应该返回 None。


8.4.2 保护路由

为了保护路由只让认证用户访问,Flask-Login 提供了一个 login_required 修饰器。用法演

示如下:

from flask.ext.login import login_required

@app.route('/secret')
@login_required
def secret():
   return 'Only authenticated users are allowed!'

如果未认证的用户访问这个路由,Flask-Login 会拦截请求,把用户发往登录页面。


8.4.3 添加登录表单

呈现给用户的登录表单中包含一个用于输入电子邮件地址的文本字段、一个密码字段、一

个“记住我”复选框和提交按钮。这个表单使用的 Flask-WTF 类如示例 8-9 所示。

示例 8-9 app/auth/forms.py:登录表单

from flask.ext.wtf import Form
from wtforms import StringField, PasswordField, BooleanField, SubmitField
from wtforms.validators import Required, Length, Email
class LoginForm(Form):
     email = StringField('Email', validators=[Required(), Length(1, 64),
     Email()])
     password = PasswordField('Password', validators=[Required()])
     remember_me = BooleanField('Keep me logged in')
     submit = SubmitField('Log In')


电子邮件字段用到了 WTForms 提供的 Length() 和 Email() 验证函数。PasswordField 类表

示属性为 type="password" 的 元素。BooleanField 类表示复选框。


登录页面使用的模板保存在 auth/login.html 文件中。这个模板只需使用 Flask-Bootstrap 提

供的 wtf.quick_form() 宏渲染表单即可。登录表单在浏览器中渲染后的样子如图 8-1 所示。


base.html 模板中的导航条使用 Jinja2 条件语句,并根据当前用户的登录状态分别显示

“Sign In”或“Sign Out”链接。这个条件语句如示例 8-10 所示。

示例 8-10 app/templates/base.html:导航条中的 Sign In 和 Sign Out 链接


current_user.is_authenticated()  # 判断用户是否认证成功


 {% if current_user.is_authenticated() %}
 
  • Sign Out
  •  {% else %}  
  • Sign In
  •  {% endif %}

    判断条件中的变量 current_user 由 Flask-Login 定义,且在视图函数和模板中自动可用。

    这个变量的值是当前登录的用户,如果用户尚未登录,则是一个匿名用户代理对象。如果

    是匿名用户,is_authenticated() 方法返回 False。所以这个方法可用来判断当前用户是否

    已经登录



    8.4.4 登入用户

    视图函数 login() 的实现如示例 8-11 所示。

    示例 8-11 app/auth/views.py:登录路由

    from flask import render_template, redirect, request, url_for, flash
    from flask.ext.login import login_user
    from . import auth
    from ..models import User
    from .forms import LoginForm
    
    
    @auth.route('/login', methods=['GET', 'POST'])
    def login():
         form = LoginForm()
         if form.validate_on_submit():
             user = User.query.filter_by(email=form.email.data).first()
         if user is not None and user.verify_password(form.password.data):
             login_user(user, form.remember_me.data)
             return redirect(request.args.get('next') or url_for('main.index'))
         
         flash('Invalid username or password.')
         return render_template('auth/login.html', form=form)

    这个视图函数创建了一个 LoginForm 对象,用法和第 4 章中的那个简单表单一样。当请

    求类型是 GET 时,视图函数直接渲染模板,即显示表单。当表单在 POST 请求中提交时,

    Flask-WTF 中的 validate_on_submit() 函数会验证表单数据,然后尝试登入用户。



    为了登入用户,视图函数首先使用表单中填写的 email 从数据库中加载用户。如果电子邮

    件地址对应的用户存在,再调用用户对象的 verify_password() 方法,其参数是表单中填

    写的密码。如果密码正确,则调用 Flask-Login 中的 login_user() 函数,在用户会话中把

    用户标记为已登录。login_user() 函数的参数是要登录的用户,以及可选的“记住我”布

    尔值,“记住我”也在表单中填写。如果值为 False,那么关闭浏览器后用户会话就过期

    了,所以下次用户访问时要重新登录。如果值为 True,那么会在用户浏览器中写入一个长

    期有效的 cookie,使用这个 cookie 可以复现用户会话。



    按照第 4 章介绍的“Post/ 重定向 /Get 模式”,提交登录密令的 POST 请求最后也做了重定

    向,不过目标 URL 有两种可能。用户访问未授权的 URL 时会显示登录表单,Flask-Login

    会把原地址保存在查询字符串的 next 参数中,这个参数可从 request.args 字典中读取。

    如果查询字符串中没有 next 参数,则重定向到首页。如果用户输入的电子邮件或密码不正

    确,程序会设定一个 Flash 消息,再次渲染表单,让用户重试登录。



    我们需要更新登录模板以渲染表单。修改内容如示例 8-12 所示。

    示例 8-12 app/templates/auth/login.html:渲染登录表单

    {% extends "base.html" %}
    {% import "bootstrap/wtf.html" as wtf %}
    86 | 第 8 章
    {% block title %}Flasky - Login{% endblock %}
    {% block page_content %}
    
     

    Login

     {{ wtf.quick_form(form) }}