more.basicauth 0.5

概述

这是一个用于HTTP基本身份验证的Morepath认证扩展。它最初是Morepath的一部分，但由于基本身份验证几乎总是不希望看到的，我们决定将其移动到一个独立的扩展中。

一些优缺点

• 以下内容反对基本身份验证：http://adrianotto.com/2013/02/why-http-basic-auth-is-bad

• 但以下内容支持基本身份验证：https://www.rdegges.com/2015/why-i-love-basic-auth

Morepath的替代认证扩展包括

• more.jwtauth：使用JSON Web Token (JWT)的基于令牌的身份验证系统。

• more.isdangerous：使用isdangerous的基于cookie的身份策略。

简介

基本身份验证在多个方面都很特殊

• 触发基本身份验证的HTTP响应状态是未授权（401），而不是默认的禁止（403）。这需要在每次登录失败时发送回浏览器，以便浏览器请求用户输入用户名和密码。

• 用户名和密码组合会由浏览器自动发送到服务器；不需要在响应中设置某种类型的cookie。因此 remember_identity 什么也不做。

• 在使用基本身份验证的情况下，没有一种通用的方法可以让Web应用触发注销。因此 forget_identity 也不起作用。

当Morepath引发403状态时，我们可以使用异常视图来触发401状态，如下所示

from webob.exc import HTTPForbidden

@App.view(model=HTTPForbidden)
def make_unauthorized(self, request):
    @request.after
    def set_status_code(response):
        response.status_code = 401
    return "Unauthorized"

对于登录代码，由于 remember_identity 不可用，您只需检查密码

# check whether user has password, using password hash and database
if not user_has_password(username, password):
    return "Sorry, login failed" # or something more fancy

请注意，user_has_password 代表您用于检查用户密码的任何方法；它不是Morepath的一部分。

用法

这里是一个基本设置的完整示例

import morepath
from more.basicauth import BasicAuthIdentityPolicy
from webob.exc import HTTPForbidden


class App(morepath.App):
    pass


@App.identity_policy()
def get_identity_policy():
    return BasicAuthIdentityPolicy()


@App.verify_identity()
def verify_identity(identity):
    # Do the password validation.
    return user_has_password(identity.username, identity.password)


@App.view(model=HTTPForbidden)
def make_unauthorized(self, request):
    @request.after
    def set_status_code(response):
        response.status_code = 401

    return "Unauthorized"

登录表单可能看起来像这样

from webob.exc import HTTPProxyAuthenticationRequired


class Login:
    pass


@App.path(model=Login, path='login')
def get_login():
    return Login()


@App.view(model=Login, request_method='POST')
def login(self, request):
    username = request.POST['username']
    password = request.POST['password']

    # Do the password validation.
    if not user_has_password(username, password):
        raise HTTPProxyAuthenticationRequired('Invalid username/password')

    return "You're logged in."  # or something more fancy

要求

• Python（3.4、3.5、3.7、3.8）

• morepath（>= 0.19）