代码收藏家技术教程 2025-02-16

Python Web开发：基于FastAPI的认证与授权

🔑 1. 认证与授权概述

在现代Web应用中，认证与授权是保障系统安全性、用户数据隐私以及防止未授权访问的基石。FastAPI框架作为一个高效且简洁的Python Web开发框架，提供了强大的认证和授权功能，尤其适合构建需要高性能和高安全性的API。FastAPI的认证与授权不仅仅局限于传统的用户名密码验证，还可以扩展为Token认证、OAuth2认证等。

认证（Authentication）与授权（Authorization）

认证是指验证用户身份的过程。常见的认证方式包括基于用户名与密码的认证、基于Token的认证、以及第三方OAuth认证等。通过认证过程，系统可以确认用户的身份。

授权是指在认证之后，根据用户的身份授予其访问系统中某些资源或执行某些操作的权限。通常，授权会依赖于用户角色（如管理员、普通用户）以及具体的权限配置。

在FastAPI中，常见的认证与授权方式是基于JSON Web Tokens（JWT）的认证。JWT是一种轻量级的令牌格式，广泛用于API验证，它包含了用户的基本信息和过期时间等信息，能有效地实现无状态认证。

FastAPI的认证方式

FastAPI提供了多个认证方案，包括但不限于：

OAuth2认证：通过OAuth2流程，可以利用第三方认证系统（如Google、GitHub等）进行认证。

Bearer Token认证：最常见的认证方式，使用Bearer Token作为HTTP请求的Authorization头部信息进行认证。

Session与Cookies认证：在传统的Web应用中，利用Session ID存储用户的登录状态。

对于API开发，Bearer Token认证结合JWT往往是最佳选择。它的无状态特性，避免了服务器需要存储会话信息，提高了系统的扩展性和性能。

🔐 2. 保障Token安全：如何使用HTTPS、设置过期时间等

Token的加密与安全性

Token的安全性至关重要，在传输过程中，Token有可能被截获并遭到篡改。因此，确保Token在传输过程中不被泄露是非常关键的。为此，可以采取以下安全措施：

使用HTTPS加密传输

HTTPS（HyperText Transfer Protocol Secure）是HTTP的安全版，通过SSL/TLS协议为HTTP通信提供加密功能，能够防止数据在传输过程中被截获和篡改。所有API通信应通过HTTPS进行，尤其是包含Token的请求与响应。

在FastAPI中，启用HTTPS非常简单，可以通过配置uvicorn来实现：

uvicorn main:app --host 0.0.0.0 --port 443 --ssl-keyfile=/path/to/keyfile --ssl-certfile=/path/to/certfile

该命令会启动FastAPI应用，并指定SSL证书与私钥文件。强烈建议在生产环境中使用HTTPS，尤其是在传输Token时。

Token过期时间

Token的过期时间（TTL, Time To Live）是决定Token有效期的一个重要参数。为了避免Token长期有效导致的安全隐患，应该为每个生成的Token设置过期时间。FastAPI可以通过JWT来实现这个功能。

在生成JWT时，可以指定Token的过期时间，示例如下：

from datetime import datetime, timedelta
from jose import JWTError, jwt

SECRET_KEY = "your_secret_key"
ALGORITHM = "HS256"
ACCESS_TOKEN_EXPIRE_MINUTES = 30

def create_access_token(data: dict):
    to_encode = data.copy()
    expire = datetime.utcnow() + timedelta(minutes=ACCESS_TOKEN_EXPIRE_MINUTES)
    to_encode.update({"exp": expire})
    
    encoded_jwt = jwt.encode(to_encode, SECRET_KEY, algorithm=ALGORITHM)
    return encoded_jwt

在上述代码中，Token的过期时间被设置为30分钟，过期后，用户需要重新认证。此做法能够有效防止Token被长期滥用，提高系统安全性。

Token存储与保护

在客户端中，Token的存储是一个不容忽视的问题。推荐将Token存储在HTTP-only和Secure标记的Cookies中，而非LocalStorage或SessionStorage，这样可以防止XSS攻击从而泄露Token。下面是FastAPI中设置HTTP-only Cookies的示例：

from fastapi import Response

def set_access_token_cookie(response: Response, token: str):
    response.set_cookie(
        key="access_token",
        value=token,
        httponly=True,
        secure=True,  # 确保只在HTTPS下传输
        expires=30*60  # Token过期时间为30分钟
    )

🛡️ 3. 防止常见认证攻击：CSRF、XSS与暴力破解

CSRF攻击防护

**跨站请求伪造（CSRF）**是一种通过伪造用户请求来执行恶意操作的攻击方式。通常，攻击者会诱使用户点击一个链接或提交一个表单，以在用户的名义下执行不安全的操作。

FastAPI并没有内建的CSRF防护机制，因为它的设计理念是“无状态”的REST API，因此，CSRF攻击的风险通常出现在基于Session认证的应用中。对于基于Token认证的API，CSRF的风险较低，但仍需要在设计时进行预防：

使用JWT Token：Token存储在客户端的HTTP-only Cookies中，且请求必须通过HTTPS进行，这可以有效防止Token被窃取。
实施CORS策略：为API配置严格的CORS（跨域资源共享）策略，确保只有指定来源的请求能够访问API。
使用SameSite Cookie属性：设置SameSite属性，可以进一步限制跨站请求的能力。

response.set_cookie(
    key="access_token",
    value=token,
    httponly=True,
    secure=True,
    expires=30*60,
    samesite="Strict"  # 限制跨站请求
)

XSS攻击防护

**跨站脚本攻击（XSS）**是通过在网页中注入恶意JavaScript代码，以窃取用户的敏感信息或执行恶意操作。为了防止XSS攻击，可以采取以下几种措施：

避免直接在HTML中渲染用户输入的内容：使用适当的输入验证与转义，防止恶意代码注入。
启用CSP（内容安全策略）：通过设置Content Security Policy（CSP）头部，限制可以执行的JavaScript来源，增加额外的安全层。

暴力破解防护

暴力破解攻击通常是通过尝试大量的密码组合来破解用户的密码。为了防止暴力破解攻击，可以采取以下策略：

限制登录尝试次数：为每个IP地址或用户账户限制登录失败的次数，达到限制后要求进行验证码验证。
采用复杂的密码策略：强制用户使用足够复杂的密码（包括字母、数字和特殊字符）。

🔄 4. Token与密钥的定期更新机制

Token和密钥的定期更新是确保系统长期安全运行的关键措施。定期更新Token和密钥可以有效防止由于Token泄露或密钥泄漏而带来的风险。

定期更新Token

在JWT中，Token的过期时间是固定的，当Token过期时，用户需要重新登录获取新的Token。为了进一步增强系统的安全性，可以引入**刷新Token（Refresh Token）**的机制。刷新Token通常具有较长的有效期，当访问Token过期时，客户端可以使用刷新Token获取新的访问Token。

示例如下：

def create_refresh_token(data: dict):
    to_encode = data.copy()
    expire = datetime.utcnow() + timedelta(days=7)  # 刷新Token有效期为7天
    to_encode.update({"exp": expire})
    
    encoded_jwt = jwt.encode(to_encode, SECRET_KEY, algorithm=ALGORITHM)
    return encoded_jwt

定期更新密钥

密钥的更新可以采取如下策略：

定期轮换密钥：设定密钥的生命周期，每隔一定时间（如每6个月）更新一次密钥。
多密钥支持：在系统中使用多个密钥，过期的密钥可以通过API版本控制等方式平滑过渡，避免系统中断。

# 使用不同的密钥进行编码
SECRET_KEY_V1 = "your_old_secret_key"
SECRET_KEY_V2 = "your_new_secret_key"

通过上述方式，可以实现密钥的平滑过渡，保证系统的长期安全。

作者：Switch616

物联沃分享整理
物联沃-IOTWORD物联网 » Python Web开发：基于FastAPI的认证与授权

代码收藏家普通

分享到：

Python Web开发：基于FastAPI的认证与授权