让FastApi在标题中使用访问令牌

Question

可能令人难以置信的愚蠢问题。

我有一个相当大的FastApi应用程序，现在我想将用户帐户添加到。我已经在

我的问题：访问生成令牌的路线时，我会得到一个访问令牌（如预期的）。但是，在下一次访问受保护的路线时，授权标题中未使用令牌，因此我会遇到一个未授权的错误。

我的问题：如何获得浏览器会话以将授权标头发送给令牌？

Answer 1

如果您使用的是普通的HTML响应，则需要使用cookie登录。 软件包fastapi-login实现实际的cookie登录

检查下面的代码以使用cookie使用

main.py

from fastapi import FastAPI, Response
from fastapi_login import LoginManager
from fastapi.security import OAuth2PasswordRequestForm
from fastapi_login.exceptions import InvalidCredentialsException

SECRET = 'your-secret-key'
manager = LoginManager(SECRET, token_url='/auth/token')

@manager.user_loader()
def load_user(email: str):  # could also be an asynchronous function
    # get actual username and password from db for the given email
    user = {"username": "[email protected]", "password": "secret"}
    return user

app = FastAPI()

# add cookie login route
@app.get('/auth')
def auth(response: Response, data: OAuth2PasswordRequestForm = Depends()):
    email = data.username
    password = data.password

    user = load_user(email)  # we are using the same function to retrieve the user
    if not user:
        raise InvalidCredentialsException  # you can also use your own HTTPException
    elif password != user['password']:
        raise InvalidCredentialsException
    # get token and set cookie
    token = manager.create_access_token(
        data=dict(sub=user.email)
    )
    manager.set_cookie(response, token)
    return response

# now add protected route
@app.get('/protected')
def protected_route(user=Depends(manager)):
    ...
    

参考： https：//github.com/mushroommaula/mushroommaula/fastroommaula/fastroommaula/fastapi_lastapi_loggin#usage-with -cookies

Answer 2

您需要将令牌存储在客户端的某个地方，然后将其发送到每个请求的标题中。将其放在标题中的方式取决于您使用的库来执行HTTP请求。对于示例，如果您使用python 请求库，这里是文档。

但是，如果您的令牌被盗（例如，在CSRF攻击中），这仍然可以创建一些安全漏洞。我要做的是让代币的寿命很短（假设几秒钟），并且每当旧令牌即将到期时，就需要在背景线程上进行新的令牌。但是，当然，您需要同时访问令牌（例如，带有静音）。