### 实现服务器端验证用户付费状态并控制内容显示 在服务器端验证用户付费状态并控制内容显示时，可以使用Python结合数据库查询权限限制的最佳实践来实现。以下是一个完整的解决方案： #### 1. 数据库设计与权限控制 在数据库中，确保每个用户的付费状态存储在一个受保护的表中，并且该表仅允许特定的SQL操作（如SELECT）。通过数据库的授权机制[^3]，限制普通用户的查询权限，仅允许应用服务账户进行查询。 ```sql -- 创建用户表和付费状态字段 CREATE TABLE users ( id SERIAL PRIMARY KEY, username VARCHAR(50) NOT NULL, paid BOOLEAN NOT NULL DEFAULT FALSE ); -- 授权给应用服务账户 GRANT SELECT ON users TO app_service_account; ``` #### 2. Python代码实现 使用Python的`psycopg2`库连接PostgreSQL数据库，并验证用户付费状态。如果用户已付费，则显示内容；否则，返回错误信息。 ```python import psycopg2 from flask import Flask, request, jsonify app = Flask(__name__) # 配置数据库连接 DB_CONFIG = { "dbname": "your_db_name", "user": "app_service_account", "password": "your_password", "host": "localhost", "port": "5432" } @app.route('/check_paid_status', methods=['POST']) def check_paid_status(): data = request.json username = data.get('username') if not username: return jsonify({"error": "Username is required"}), 400 try: # 连接数据库 conn = psycopg2.connect(**DB_CONFIG) cursor = conn.cursor() # 查询用户付费状态 cursor.execute("SELECT paid FROM users WHERE username = %s", (username,)) result = cursor.fetchone() if result and result[0]: content = "This is the premium content." return jsonify({"content": content}), 200 else: return jsonify({"error": "User is not paid"}), 403 except Exception as e: return jsonify({"error": str(e)}), 500 finally: if 'conn' in locals() and conn: conn.close() if __name__ == '__main__': app.run(debug=True) ``` #### 3. 安全性与认证 为了确保API的安全性，可以采用OAuth 2.0或JWT进行身份验证[^2]。在上述代码中，可以通过中间件检查请求头中的令牌是否有效。 ```python from functools import wraps import jwt SECRET_KEY = "your_secret_key" def token_required(f): @wraps(f) def decorated(*args, **kwargs): token = request.headers.get('Authorization') if not token: return jsonify({"error": "Token is missing"}), 401 try: data = jwt.decode(token, SECRET_KEY, algorithms=["HS256"]) current_user = data['username'] except: return jsonify({"error": "Token is invalid"}), 401 return f(current_user, *args, **kwargs) return decorated @app.route('/protected_content', methods=['GET']) @token_required def protected_content(current_user): return jsonify({"message": "This is protected content for user: " + current_user}), 200 ``` #### 4. 最佳实践总结 - 使用RESTful架构设计API，确保URL清晰且易于理解。 - 在数据库层面实施严格的权限控制，防止未授权访问。 - 使用安全的认证机制（如JWT或OAuth 2.0）保护API[^2]。 - 对敏感数据进行加密存储，避免泄露用户信息。 ---