flask-httpauth：get_password 装饰器如何用于基本身份验证？

Question

我想知道是否有人使用过这个flask extension 来简化 http-basic-auth。

这个我基本看不懂example：

users = {
    "john": "hello",
    "susan": "bye"
}

@auth.get_password
def get_pw(username):
    if username in users:
        return users[username]
    return None

get_password 装饰器似乎返回给定用户的明文密码，如果它与用户提供的密码匹配，则授权将被授予。

但是没有人应该首先访问用户的明文密码。我通常将明文密码和用户名发送到后端，对密码进行哈希处理并将其与数据库中现有的哈希密码进行比较。

这是如何设想的？

更新：

文档的链接提供了更多信息。因为实现这一点需要第二个装饰器：

@auth.hash_password
def hash_pw(username, password):
    get_salt(username)
    return hash(password, salt)

从字面上看，规则是get_password(username) == hash_password(password)

我理解这个工作的方式是get_password返回数据库中用户的哈希密码，它需要等于hash_password方法中定义的当前哈希密码。

问题是，我使用的是sha256_crypt from passlib。

def verify_password(password, hashed_password_in_db, password_hash_version):
    if password_hash_version == 1:
        return sha256_crypt.verify(password, hashed_password_in_db)
    return False 

在这里，您无法对给定密码进行哈希处理并将其与存储的哈希密码进行比较。我必须使用方法sha256_crypt.verify(password, hashed_password_in_db)，它返回false 或true。

有没有办法实现这一点，还是我必须推出自己的自定义解决方案？谢谢

Answer 1

我刚刚意识到这些问题仍未得到解答。

我确信 flask-httpauth 项目非常适合您打算使用 md5 哈希的情况。

但就我而言，如果您使用sha256_crypt，则由于其工作方式，您无法使其与此扩展程序一起使用。 （查看我更新的问题）

我最终做的是使用烧瓶制造商编写的snippet。

check_auth 方法正是我所需要的，因为它返回布尔值。

就我而言，我已经这样定义它以使其与sha256_crypt一起使用

def check_auth(email, password):
    em_login_provider = ndb.Key('AuthProvider', get_provider_id(constants.EMAIL, email)).get()        
    if em_login_provider and em_login_provider.active:
        user = em_login_provider.user                
        if user and verify_password(password, user.password_hash, user.password_hash_version):
            return True
    return False

Answer 2

我是 Flask-HTTPAuth 的开发者。抱歉，我错过了这个问题。

我刚刚发布了一个新版本，它为您提供了一种使用自定义函数来验证密码的方法。您现在可以使用 verify_password 回调，而不是定义 get_password 和 hash_password 回调，让密码验证完全由您决定。例如，在您的情况下，您将使用此回调：

@auth.verify_password
def verify_password(email, password):
    return check_auth(email, password)

我希望这会有所帮助！