22 用户认证之用户权限

在上一篇文章中，我们介绍了用户登录的实现方式，讲解了如何使用 Flask 登录用户并管理用户会话。在这一篇中，我们将聚焦于用户权限认证的实现，确保我们的应用能够限制用户的访问范围，从而保护敏感数据和操作。

权限的概念

在任何Web应用程序中，权限控制是至关重要的。通过对不同用户角色和权限的管理，应用可以限制用户访问特定资源或执行特定操作。通常，一个用户可以拥有以下角色：

• 管理员（Admin）：可以访问所有功能，包括用户管理。
• 普通用户（User）：可以访问公共功能，但不能进行敏感操作。
• 访客（Guest）：只读权限，不能进行任何更改。

权限模型实现

在 Flask 中，我们可以轻松地实现这样的权限模型。为此，我们通常需要以下几个步骤：

1. 定义用户角色和权限。
2. 在用户模型中添加角色字段。
3. 创建权限检查装饰器。
4. 保护视图函数。

步骤 1: 定义用户角色和权限

首先，我们可以在应用中定义一些常用的角色。这里我们采用简单的字符串来表示角色：

ROLES = {
    "ADMIN": "admin",
    "USER": "user",
    "GUEST": "guest"
}

步骤 2: 在用户模型中添加角色字段

接下来，我们需要在用户数据模型中添加一个 role 字段。在此示例中，我们使用 SQLAlchemy 来定义用户模型：

from flask_sqlalchemy import SQLAlchemy

db = SQLAlchemy()

class User(db.Model):
    id = db.Column(db.Integer, primary_key=True)
    username = db.Column(db.String(80), unique=True, nullable=False)
    password = db.Column(db.String(200), nullable=False)
    role = db.Column(db.String(50), default=ROLES['USER'])  # 用户角色，默认为用户

    def __repr__(self):
        return f'<User {self.username}>'

步骤 3: 创建权限检查装饰器

为了方便地检查用户的权限，我们可以创建一个自定义的装饰器。这个装饰器将会验证当前登录用户是否有足够的权限来访问某个视图函数。

from functools import wraps
from flask import g, redirect, url_for

def role_required(role):
    def decorator(f):
        @wraps(f)
        def decorated_function(*args, **kwargs):
            if g.user.role != role:
                return redirect(url_for('unauthorized'))  # 如果没有权限，则重定向
            return f(*args, **kwargs)
        return decorated_function
    return decorator

步骤 4: 保护视图函数

一旦我们定义了权限装饰器，就可以在视图函数上使用它了。以下是如何使用 @role_required 装饰器限制某个视图只能由管理员访问：

@app.route('/admin')
@role_required(ROLES['ADMIN'])
def admin_dashboard():
    return "欢迎来到管理员面板"

@app.route('/unauthorized')
def unauthorized():
    return "您没有权限访问此页面", 403

所有没有管理员权限的用户访问 /admin 路由时都会被重定向到 /unauthorized 页面。

案例：综合应用

假设我们想建立一个简单的 Flask 应用，其中各类用户都有不同的权限。以下是一个完整的示例：

from flask import Flask, g, redirect, url_for, render_template, request
from flask_sqlalchemy import SQLAlchemy
from flask_login import LoginManager, login_user, logout_user, UserMixin, login_required

app = Flask(__name__)
app.config['SQLALCHEMY_DATABASE_URI'] = 'sqlite:///users.db'
app.secret_key = 'your_secret_key'
db = SQLAlchemy(app)
login_manager = LoginManager(app)

class User(UserMixin, db.Model):
    # 用户模型见前文
    ...

# 在此插入用户认证函数和权限装饰器

@login_manager.user_loader
def load_user(user_id):
    return User.query.get(int(user_id))

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'POST':
        username = request.form['username']
        password = request.form['password']
        user = User.query.filter_by(username=username).first()
        if user and user.password == password:  # 实际中使用加密的密码
            login_user(user)
            return redirect(url_for('admin_dashboard'))
    return render_template('login.html')

if __name__ == '__main__':
    db.create_all()
    app.run(debug=True)

这一完整的示例使我们能够创建用户，通过角色进行权限控制。注意，在实际项目中，强烈建议对密码进行加密处理，使用库如 werkzeug.security 来保证安全性。

结论

在本篇文章中，我们详细讨论了如何在 Flask 应用中实现用户权限认证。这包括定义用户角色、在数据库中添加相应字段、使用装饰器检查权限以及保护视图函数。接下来的文章我们将进一步探讨如何定义 RESTful API，以便为我们的用户提供更为灵活和现代化的接口。希望大家继续关注！