### Flask 中实现用户权限管理的方法 在 Flask 应用程序中，可以利用 `Flask-Login` 和 `Flask-Principal` 这两个扩展来有效地管理和控制用户的访问权限。下面将详细介绍这两种工具的作用及其具体的应用方式。 #### 使用 Flask-Login` 提供了一套简单而有效的接口用于处理用户的登录状态，包括保持已验证用户的状态、保护视图函数免受未授权访问等[^1]。为了确保安全性，在保存用户密码时应采用哈希算法而不是明文形式[^4]。 ```python from flask import Flask, redirect, url_for, request, render_template_string from werkzeug.security import generate_password_hash, check_password_hash from flask_login import LoginManager, UserMixin, login_user, logout_user, current_user, login_required app = Flask(__name__) login_manager = LoginManager() login_manager.init_app(app) class User(UserMixin): def __init__(self, id_, username, password_hash=None): self.id = id_ self.username = username self.password_hash = password_hash @staticmethod def try_login(username, password): user_data = get_user_from_db_by_username(username) # 假设有一个获取用户数据的方法 if not user_data or not check_password_hash(user_data['password'], password): return None return User(id_=user_data['_id'], username=user_data['username']) @login_manager.user_loader def load_user(user_id): data = get_user_from_db_by_id(user_id) if data is None: return None return User(data["_id"], data["username"]) @app.route('/login', methods=['GET', 'POST']) def login(): if request.method == 'POST': username = request.form.get('username') password = request.form.get('password') user = User.try_login(username=username, password=password) if user is None: error_message = "Invalid credentials" template = '<form method="post">Username:<br><input type="text" name="username"><br>Password:<br><input type="password" name="password"><br><button type="submit">Submit</button></form>' return render_template_string(template + f'<p style="color:red;">{error_message}</p>'), 401 login_user(user) next_page = request.args.get('next') or '/' return redirect(next_page) return ''' <form action="" method="post"> Username:<br> <input type="text" name="username"><br> Password:<br> <input type="password" name="password"><br> <input type="submit" value="Log In"> </form> ''' @app.route("/logout") @login_required def logout(): logout_user() return "<h1>You have been logged out.</h1>" ``` 这段代码实现了基本的用户登录和登出功能，并且包含了安全措施如密码加密存储。 #### 利用 Flask-Principal 实现细粒度的角色权限控制 对于更复杂的权限管理系统，则可以通过引入 `Flask-Principal` 扩展来定义不同的角色并分配相应的操作许可给这些角色。这允许开发人员创建一个多层的安全架构，其中不仅考虑到了身份验证还涵盖了详细的资源访问策略。 ```python from flask_principal import Principal, Permission, RoleNeed, identity_loaded, Identity, AnonymousIdentity, session_identity_changed, identity_changed principals = Principal(app) admin_permission = Permission(RoleNeed('admin')) @identity_loaded.connect_via(app) def on_identity_loaded(sender, identity): # 设置默认的身份信息为空白对象 identity.provides.add(AnonymousIdentity()) if hasattr(current_user, 'roles'): for role in current_user.roles.split(','): # 假定 roles 字段是以逗号分隔字符串的形式存在 identity.provides.add(RoleNeed(role.strip())) @app.before_request def before_request(): if isinstance(current_user._get_current_object(), User): identity_changed.send( app, identity=Identity(current_user.id)) else: identity_changed.send( app, identity=AnonymousIdentity()) @app.route('/admin') @admin_permission.require(http_exception=403) def admin_index(): return '<h1>Hello Admin!</h1>' ``` 上述例子展示了如何设置管理员级别的路由保护机制，只有当请求者的身份包含有 `'admin'` 角色时才能成功访问 `/admin` 路径下的页面；否则将会返回 HTTP 403 错误响应码表示拒绝服务。