在没有用户身份验证的情况下保护 Flask API

Question

我想知道是否可以在没有登录凭据（如基本身份验证）的情况下保护烧瓶 api。我只想将密钥和秘密分享给我的客户。

Answer 1

您可以轻松地为您的应用程序编写静态（当然是每个用户）API 密钥。通常这是通过在 HTTP 标头中添加预共享密钥来完成的。或作为 URI 参数。我更喜欢HTTP。 Github 中至少有一个可用的库：https://github.com/ericsopa/flask-api-key。而且 api-key 认证自己实现起来相当容易。

为了更好的安全性，您可以使用令牌身份验证。解释在https://realpython.com/token-based-authentication-with-flask/

请记住。总是 HTTPS 从不是 HTTP！

在谈到 API 时，我们很多人都会想到 REST。在谈论 REST 和身份验证时，最好记住 REST 是无状态的。因此，在每个请求中都会进行身份验证（例如发送令牌或 API 密钥或凭据）。经过身份验证的用户没有会话。当然，除了 REST 之外，还有许多其他 API。