1、需求

最近的一個(gè)flask web項(xiàng)目中需要對(duì)不同角色用戶的資源做限制和URL的保護(hù)，比如后臺(tái)管理只能是擁有管理員身份的用戶才能夠訪問(wèn)等。看了Flask-Principal之后感覺(jué)可以將權(quán)限管理交給它做，下面就是如何將它用到項(xiàng)目中去。

2、Flask-Principal

引用官方文檔：

Flask-Principal 提供一個(gè)極其松散的框架用于綁定兩種類型的服務(wù)到 provider 上，通常設(shè)置在一個(gè)Web應(yīng)用的不同部分上
1、認(rèn)證 providers
2、用戶信息 providers
主要的組件包括Identity，Needs，Permission，IdentityContext。

Identity代表用戶，它就是用戶在系統(tǒng)中的標(biāo)志，包含用戶所有的訪問(wèn)權(quán)限。
Need是訪問(wèn)控制的最小粒度，表示一個(gè)操作權(quán)限，Needs中可以包含很多個(gè)Need，就是一個(gè)用戶可以由很多權(quán)限。
Permission包含對(duì)資源的訪問(wèn)控制。
IdentityContext 針對(duì)某一特定身份和某一特定權(quán)限的上下文環(huán)境。
具體介紹可以參照官方文檔：http://pythonhosted.org/Flask-Principal/

3、使用

我們使用角色來(lái)控制該用戶的權(quán)限
舉例：我們?cè)谟脩舻卿浀较到y(tǒng)時(shí)，給該用戶賦予上角色，比如用戶A為管理員，登錄時(shí)將管理員角色賦予A，這樣A就可以訪問(wèn)屬于管理員的資源了。
我的項(xiàng)目中，使用的第三方拓展都放在extensions.py文件中，同樣我們?cè)谶@個(gè)文件中實(shí)例化Principal對(duì)象。
models.py

class Role(db.Model):
    __tablename__ = 'roles'

    id = db.Column(db.Integer, primary_key=True)
    role_name = db.Column(db.String(30), unique=True, nullable=False)

    users= db.relationship('User', secondary="userroles", back_populates='roles')

    def __repr__(self):
        return self.role_name


class User(db.Model, UserMixin):
    __tablename__ = 'users'

    id = db.Column(db.Integer(), primary_key=True)
    username = db.Column(db.String(30), unique=True, nullable=False)  
    password = db.Column(db.String, default='123456', nullable=False)  # 用戶密碼 默認(rèn)為123456

    roles = db.relationship('Role', secondary="userroles", back_populates='users')
   
    def check_passwd(self, value):
        return value == self.password

    def __repr__(self):
        return self.username

    # 回調(diào)函數(shù)
    @login_manager.user_loader
    def load_user(user_id):
        return User.query.get(int(user_id))

class UserRole(db.Model):
    __tablename__ = 'userroles'

    user_id = db.Column(db.Integer, db.ForeignKey('users.id'), primary_key=True, nullable=False)

    role_id = db.Column(db.Integer, db.ForeignKey('roles.id'), primary_key=True, nullable=False)

extensions.py

from flask_principal import Principal, Permission, RoleNeed
principals = Principal()  # 實(shí)例化一個(gè)Principal對(duì)象
admin_permission = Permission(RoleNeed('admin')) # 表示滿足role有admin的用戶才能夠有權(quán)限

我們?cè)赾reate_app函數(shù)中為用戶添加Need

______init__.py(對(duì)于看過(guò)Flask web開(kāi)發(fā)的這個(gè)文件應(yīng)該知道我說(shuō)的是哪一個(gè))

def create_app(object_name):
    app = Flask(__name__)
    app.config.from_object(object_name)

    db.init_app(app)
 
    login_manager.init_app(app)
    principals.init_app(app)

    @app.route('/')
    @login_required
    def index():
        return redirect(url_for('auth.login'))

    @identity_loaded.connect_via(app)
    def on_identity_loaded(sender, identity):
        # Set the identity user object
        identity.user = current_user

        # Add the UserNeed to the identity
        if hasattr(current_user, 'id'):
            identity.provides.add(UserNeed(current_user.id))

        # Assuming the User model has a list of roles, update the
        # identity with the roles that the user provides
        if hasattr(current_user, 'roles'):
            for role in current_user.roles:
                identity.provides.add(RoleNeed(role.role_name))

    from controllers.auth import auth_blueprint
    app.register_blueprint(auth_blueprint)
    return app

@identity_loaded.connect_via(app)當(dāng)用戶登錄系統(tǒng)時(shí)，這個(gè)裝飾器修改的函數(shù)會(huì)執(zhí)行來(lái)加載用戶，為用戶添加權(quán)限。
login.py

@auth_blueprint.route('/login', methods=['GET', 'POST'])
def login():
    form = LoginForm()
    if form.validate_on_submit():
        user = User.query.filter_by(username=form.user_name.data).first()
        if user is not None and user.check_passwd(form.password.data):
            login_user(user, form.remember_me.data)
            session['user_name'] = user.username
           
            identity_changed.send(current_app._get_current_object(), identity=Identity(user.id))

            # 這里登錄之后根據(jù)用戶的角色訪問(wèn)不同的界面
            if user.role_id == 1:
                return render_template('index.html')
            else:
                return render_template('user.html')

        else:
            flash(u"用戶名或密碼錯(cuò)誤")
            return render_template('login.html', form=form)
  

    return render_template('login.html', form=form)

identity_changed.send函數(shù)就會(huì)為已經(jīng)驗(yàn)證通過(guò)的用戶賦予管理員角色。
然后可以在管理員的視圖函數(shù)上使用@admin_permission.require(http_exception=403)來(lái)裝飾，這樣如果想要訪問(wèn)該路由就需要管理員身份。