在 Flask 中使用 HTTP 身份验证时的标准 401 响应

Question

在 Flask 中，我使用以下 snippet 来启用 HTTP 身份验证：

def authenticate():
    return Response('<Why access is denied string goes here...>', 401, {'WWW-Authenticate':'Basic realm="Login Required"'})

现在，根据我过去使用 Flask 的经验，如果某人的凭据不正确，我想让他们知道我可以调用：

abort(401)

这将为您提供基本的 apache 401 响应。有谁知道我如何使用上面的代码片段来实现它？

谢谢

Answer 1

在 Flask 中自定义错误响应确实非常简单。创建一个函数，其唯一参数是HTTP错误状态代码，使其返回一个flask.Response实例，并用@app.errorhandler。

@app.errorhandler(401)
def custom_401(error):
    return Response('<Why access is denied string goes here...>', 401, {'WWW-Authenticate':'Basic realm="Login Required"'})

然后您可以随心所欲地使用abort(401)。

Answer 2

Flask 的 abort 直接来自 Werkzeug。它是一个可调用对象，可根据需要引发各种预定义的 HTTP 异常（HTTPException 的子类）。请查看此处的代码了解详细信息。

预定义的 Unauthorized （映射到 401）仅定义代码和消息，但不定义 WWW-Authenticate 标头，正如您所知，触发登录需要该标头- 浏览器弹出。 HTTPException 具有的标头在 HTTPException.get_headers 中硬编码为 [('Content-Type', 'text/html')]。

因此，要添加 WWW-Authenticate 标头，请创建您自己的 Unauthorized 子类，覆盖 get_headers 函数，最后更新 abort.mapping 字典用它。

from flask import abort
from werkzeug.exceptions import Unauthorized

class MyUnauthorized(Unauthorized):
    description = '<Why access is denied string goes here...>'
    def get_headers(self, environ):
        """Get a list of headers."""
        return [
            ('Content-Type', 'text/html'),
            ('WWW-Authenticate', 'Basic realm="Login required"'),
        ]

abort.mapping.update({401: MyUnauthorized})

现在，所有 abort(401) 调用都会引发您的自定义异常。