使用 HTTP Digest 身份验证保护 REST 端点

Question

• 我正在使用Flask 在Python 开发一个项目，该项目的端点为

@app.route(/transaction)
def get(request):
  ...

@app.route(/transaction)
def post(request):
  ...

• 另外，我希望 REST 端点在方法执行之前经过身份验证
• 我对此进行了很多搜索，发现Digest Authentication 是我可能需要的（我现在还不确定）

问题

• 如何使用 python 和烧瓶实现这样的安全模式？我可以看到并从中学习到任何可用的示例吗？
• 我不想以明文形式传递密码，使用令牌是一个更好的主意，那么考虑 HTTP 摘要式身份验证是一个正确的选择吗？
• 你们还有什么想推荐的吗？

我希望我的服务器是无状态，并且不在服务器端存储任何会话

Answer 1

看https://flask-restless.readthedocs.org/en/latest/。

为了安全存在扩展：http://pythonhosted.org/Flask-Login/ 和 http://pythonhosted.org/Flask-Principal/。

无状态服务不存储会话数据，这意味着您必须为每个请求发送凭据。

1. 您可以只使用普通的登录名和密码，也可以使用哈希函数。
2. 您可以在用户端存储密钥并生成/加密您的纯数据作为登录名、密码、其他请求数据。这可以保护您免受其他请求，但不能保护您免受某些请求，但您也可以添加时间戳等内容并拒绝任何旧请求，或添加唯一请求 ID 并拒绝某些请求。
3. 您可以使用更有效的方式，例如 https。

有状态服务还可以获取普通的登录名和密码以进行身份​​验证，并生成用于授权的令牌，随每个请求一起发送。