flask-restless 限制 RESTful api 访问

Question

我只希望登录用户访问我的 RESTfull API。我一直在搜索，找不到任何告诉我如何做的来源。很奇怪，因为我认为保护数据很常见。

我正在使用带有Flask-login 和flask-Restless 的Flask 项目。我通过SQL-alchemy 类对我的数据进行CRUD 以访问我的MySQL 数据库。我创建了我的 RESTfull api，例如：

api_manager = APIManager(app, flask_sqlalchemy_db=db)
api_manager.create_api(Items, methods=['GET', 'POST', 'DELETE', 'PUT'])

我应该如何限制未登录的用户对我的 RESTfull api 的访问，或者我不能使用 flask-restless 进行访问？如果没有，我应该/可以更好地使用什么？

我正在尝试一些技术，欢迎任何方向的建议！

提前致谢

---

在玩了一些之后，我找到了解决方案。它可能不是最好的，但不需要太多代码就可以解决问题：

@app.before_request
def before_request():
    if ('/api/' in str(request.url_rule)) && (not current_user.is_authenticated()):
        return redirect('/login')

这是正确的方法吗？为每个可能的 HTTP 请求添加 Preprosessors 需要大量代码。 https://flask-restless.readthedocs.org/en/latest/customizing.html#request-preprocessors-and-postprocessors

Answer 1

看来你通过customizing Flask-Restless 实现了你想要的。您可以使用预处理器来拦截您的 API 请求。

这是一个sn-p。请注意，这是一个未经测试的 sn-p。

def auth_func(*args, **kw):
    if not current_user.is_authenticated():
        raise ProcessingException(description='Not authenticated!', code=401)

api_manager = APIManager(app, flask_sqlalchemy_db=db)
api_manager.create_api(Items, methods=['GET', 'POST', 'DELETE', 'PUT'], preprocessors=dict(POST=[auth_func]))

同样，您可以将预处理器注册到您的 APIManager，为所有 API 启用它。

api_manager = APIManager(app, flask_sqlalchemy_db=db, preprocessors=dict(POST=[auth_func]))
api_manager.create_api(Items, methods=['GET', 'POST', 'DELETE', 'PUT'])