通过 JSON 在 App Engine/Python/Django non-rel 上进行身份验证

Question

我正在 Google App Engine 上构建一个网站，运行 python 和 Django non-rel。 HTML 和发布/读取数据的一切都运行良好。但随着我的前进，我希望使用 AJAX 进行许多更新，并最终也通过 Android 和 iPhone 等移动设备进行更新。

我的页面使用 django non-rel 并且我的登录/注销身份验证非常适合 HTML。但通过 JSON 发送的更新信息必须经过身份验证，用户才能进行更改。我发现仅对 AJAX 调用进行身份验证不会太困难，因为您仍在访问网站，但是如果加入手机身份验证呢？

所以我对此很陌生，我该从哪里开始呢？

如何在 gae 上设置服务以便可以执行经过身份验证的 CRUD 操作？理想情况下，我想对 ajax、android 等使用完全相同的 REST 服务。

Answer 1

Python 使这变得非常简单，您只需创建一个检查身份验证的装饰器方法并将装饰器添加到任何需要身份验证凭据的方法即可。

def admin(handler_method):
  """
  This decorator requires admin, 403 if not.
  """
  def auth_required(self, *args, **kwargs):
    if users.is_current_user_admin():
      handler_method(self, *args, **kwargs)
    else:
      self.error(403)
  return auth_required

...

@admin
def crudmethod_update(self, *args, **kwargs):
  ...

请注意，这假设了一些有关如何获取用户数据等的事情，但原则与任何设置都是相同的。您可能正在思考的概念是，ajax 调用在服务器上的处理方式有所不同，但就像任何宁静的方法一样，您实际上得到的是相同的标头。如果您可以检查标准 html 请求的身份验证，您实际上可以使用 ajax 请求劫持表单提交并获得相同的结果。您可能想要返回 JSON 或者一小段 HTML，为此您需要：

1. 添加一些您可以在请求中检查的内容，以了解它是一个 ajax 请求并进行相应调整。

2. 专门实现RPC 模型来处理 ajax 请求。

要实际处理身份验证，您可以使用 google.appengine.ext users 库并使用谷歌帐户身份验证，或者您可以编写自己的帐户。 自己编写当然意味着实现会话机制（用于在整个用户会话中保留状态）并将密码存储在散列和加盐中状态进行验证。