Question

我想知道是否有人使用此flask extension来简化http-basic-auth。

基本上我不理解这个example：

users = {
    "john": "hello",
    "susan": "bye"
}

@auth.get_password
def get_pw(username):
    if username in users:
        return users[username]
    return None

get_password装饰器似乎返回给定用户的明确密码，如果它与用户提供的密码匹配，则授权将被授予。

但是，没有人应该首先访问用户的明确密码。我通常会将明确的密码和用户名发送到后端，散列密码并将其与数据库中现有的哈希密码进行比较。

这是如何设想的？

更新

文档的链接更加清晰。因为需要第二个装饰器才能达到这个目的：

@auth.hash_password
def hash_pw(username, password):
    get_salt(username)
    return hash(password, salt)

字面上规则是get_password(username) == hash_password(password)

我理解这一点的工作方式是get_password在数据库中返回用户的哈希密码，该密码需要等于hash_password方法中定义的当前哈希密码。

问题是，我正在使用sha256_crypt from passlib。

def verify_password(password, hashed_password_in_db, password_hash_version):
    if password_hash_version == 1:
        return sha256_crypt.verify(password, hashed_password_in_db)
    return False

在此处，您无法对给定密码进行哈希处理，并将其与存储的哈希密码进行比较。我必须使用方法sha256_crypt.verify(password, hashed_password_in_db)，它返回false或true。

有没有办法实现这一点，还是我必须推出自己的自定义解决方案？感谢

Answer 1

我是Flask-HTTPAuth的开发者。对不起，我错过了这个问题。

我刚发布了一个新版本，它为您提供了一种使用自定义函数验证密码的方法。您现在可以使用get_password回调代替定义hash_password和verify_password回调，而不会完全由您完成密码验证。例如，在您的情况下，您将使用此回调：

@auth.verify_password
def verify_password(email, password):
    return check_auth(email, password)

我希望这有帮助！

Answer 2

我刚才意识到这些问题仍然没有答案。

我确信项目flask-httpauth非常适合您打算使用md5哈希的情况。

但在我的情况下，如果您使用sha256_crypt，由于其工作方式，您无法使其与此扩展程序一起使用。（见我更新的问题）

我最终做的是使用由烧瓶制造商撰写的snippet。

方法check_auth正是我所需要的，因为它返回布尔值。

在我的情况下，我已将其定义为使其与sha256_crypt

一起使用

def check_auth(email, password):
    em_login_provider = ndb.Key('AuthProvider', get_provider_id(constants.EMAIL, email)).get()        
    if em_login_provider and em_login_provider.active:
        user = em_login_provider.user                
        if user and verify_password(password, user.password_hash, user.password_hash_version):
            return True
    return False

flask-httpauth：get_password装饰器如何用于basic-auth？

2 个答案: