【免费下载链接】authlibThe ultimate Python library in building OAuth, OpenID Connect clients and servers. JWS, JWE, JWK, JWA, JWT included.项目地址https://gitcode.com/gh_mirrors/au/authlib点击查看免费下载本文围绕 Authlib 官方文档 docs/oauth2/resource-server/flask.rst 展开系统讲解如何在 Flask 应用中将 API 端点保护为 OAuth 2.0 资源服务器通过ResourceProtector与require_oauth装饰器校验访问令牌、以 AND/OR 组合多种 scope、用optional参数开放匿名访问以及借助current_token代理访问已认证令牌。读完本文你将能够在自己的 Flask 项目中独立搭建一个基于 Bearer Token 的资源保护层并理解其底层校验链路的完整实现。资源服务器与 Flask 集成概览在 OAuth 2.0 的授权框架中**资源服务器Resource Server**是承载用户受保护数据、负责验证访问令牌的 API 服务。它只做一件事校验授权服务器签发的令牌只允许携带合法且具备相应 scope 的令牌的客户端访问受保护资源见 docs/oauth2/resource-server/index.rst。资源服务器可以与授权服务器完全分离——它甚至不持有用户数据库只需通过 RFC 7662 Token Introspection 接口向授权服务器询问令牌状态详见 authlib/oauth2/rfc7662/token_validator.py。在 Authlib 中Flask 集成入口位于 authlib/integrations/flask_oauth2/init.py提供了ResourceProtector创建require_oauth装饰器的核心类current_token指向当前已认证令牌的 WerkzeugLocalProxytoken_authenticated等信号可在令牌认证成功后执行自定义逻辑。第一步定义 BearerTokenValidator要保护资源首先要为令牌校验器实现「如何根据令牌字符串查回令牌对象」。文档给出的最小示例docs/oauth2/resource-server/flask.rst如下from flask import jsonify from authlib.integrations.flask_oauth2 import ResourceProtector, current_token from authlib.oauth2.rfc6750 import BearerTokenValidator class MyBearerTokenValidator(BearerTokenValidator): def authenticate_token(self, token_string): return Token.query.filter_by(access_tokentoken_string).first() require_oauth ResourceProtector() # 目前仅支持 bearer token require_oauth.register_token_validator(MyBearerTokenValidator())底层校验逻辑authenticate_token 与 validate_tokenBearerTokenValidator定义在 authlib/oauth2/rfc6750/validator.py其中TOKEN_TYPE bearer并声明了两个必须由开发者实现/依赖的方法authenticate_token(token_string)从数据库查询令牌对象。基类抛出NotImplementedError必须由开发者覆写validate_token(token, scopes, request)基类已给出默认实现——依次检查令牌是否存在、is_expired()、is_revoked()最后调用scope_insufficient()做 scope 匹配不通过时分别抛出InvalidTokenError401或InsufficientScopeError403错误类定义见 authlib/oauth2/rfc6750/errors.py。因此你的Token模型需要具备is_expired()、is_revoked()与get_scope()能力——这正是 authlib/oauth2/rfc6749/models.py 中TokenMixin要求实现的三个核心方法。让配置更省事create_bearer_token_validator如果你使用 SQLAlchemy不必手写 validator。Authlib 在 authlib/integrations/sqla_oauth2/functions.py 提供了工厂函数from authlib.integrations.sqla_oauth2 import create_bearer_token_validator from .models import Token BearerTokenValidator create_bearer_token_validator(db.session, Token) require_oauth.register_token_validator(BearerTokenValidator())它生成的_BearerTokenValidator内部已实现authenticate_token通过session.query(token_model).filter_by(access_tokentoken_string)查询令牌见 authlib/integrations/sqla_oauth2/functions.py。这一用法在仓库测试 tests/flask/test_oauth2/test_oauth2_server.py 中得到直接印证。无法访问数据库使用令牌内省Token Introspection当资源服务器无法访问Token模型数据库而授权服务器提供了内省端点时改用IntrospectTokenValidator参考文档中 :ref:require_oauth_introspection指引。它定义于 authlib/oauth2/rfc7662/token_validator.py需要你实现introspect_token(token_string)向授权服务器的内省端点发起请求并返回 JSONfrom authlib.oauth2.rfc7662 import IntrospectTokenValidator class MyIntrospectTokenValidator(IntrospectTokenValidator): def introspect_token(self, token_string): url https://example.com/oauth/introspect resp requests.post(url, data{token: token_string}) resp.raise_for_status() return resp.json() require_oauth.register_token_validator(MyIntrospectTokenValidator())校验时它检查token[active]是否为真并同样执行 scope 充分性判断——令牌无效返回 401invalid_tokenscope 不足返回 403insufficient_scope。相关 RFC 7662 规范说明见 docs/oauth2/specs/rfc7662。第二步用 require_oauth 保护你的 API 端点完成 validator 注册后就可以用装饰器保护端点。文档给出的核心示例docs/oauth2/resource-server/flask.rstapp.route(/user) require_oauth(profile) def user_profile(): # 如果 Token 模型带有 .user 外键 user current_token.user return jsonify(user)不带 scope 的端点如果某资源不需要任何 scope 保护直接省略参数即可docs/oauth2/resource-server/flask.rstapp.route(/user) require_oauth def user_profile(): user current_token.user return jsonify(user)注意require_oauth与require_oauth()两种写法都受支持——在 authlib/integrations/flask_oauth2/resource_protector.py 的实现中__call__会判断scopes是否可调用若require_oauth直接被用作装饰器可调用对象是视图函数则直接返回装饰器否则返回闭包装饰器。仓库测试 tests/flask/test_oauth2/test_oauth2_server.py 同时验证了/info带括号与/no-parens不带括号两种路由均可正常访问。current_token一个指向 Token 模型的代理current_token是 Werkzeug 的LocalProxy指向 Flask 应用上下文g中由acquire_token()保存的令牌对象见 authlib/integrations/flask_oauth2/resource_protector.pydef _get_current_token(): return g.get(authlib_server_oauth2_token) current_token LocalProxy(_get_current_token)由于令牌对象上存在user外键关系可直接通过current_token.user访问用户。令牌认证成功后还会发送token_authenticated信号信号定义见 authlib/integrations/flask_oauth2/signals.py可用于埋点或审计。偏爱 with 语句使用 require_oauth.acquire如果你不喜欢装饰器风格文档提供了等价的with语句用法docs/oauth2/resource-server/flask.rstapp.route(/user) def user_profile(): with require_oauth.acquire(profile) as token: user token.user return jsonify(user)其实现见 authlib/integrations/flask_oauth2/resource_protector.pyacquire()是contextmanager内部yield self.acquire_token(scopes)并捕获OAuth2Error转为 HTTP 异常响应。仓库测试 tests/flask/test_oauth2/test_oauth2_server.py 验证了/acquire路由的完整可用性。多 Scope 组合AND、OR 与混合模式自 v1.0 起.. versionchanged:: v1.0同一端点可以应用多个 scope并支持AND、OR与混合三种逻辑docs/oauth2/resource-server/flask.rst。AND 模式一个字符串内的多个 scopeapp.route(/profile) require_oauth([profile email]) def user_profile(): user current_token.user return jsonify(user)要求令牌同时包含profile和email两个 scope。OR 模式列表中的多个 scopeapp.route(/profile) require_oauth([profile, email]) def user_profile(): user current_token.user return jsonify(user)要求令牌包含profile或email任一 scope 即可。混合模式AND 与 OR 的组合app.route(/profile) require_oauth([profile email, user]) def user_profile(): user current_token.user return jsonify(user)该端点的有效条件是令牌同时包含profile和email两个 scope或者令牌包含userscope。底层判定逻辑scope_insufficient这一语义由基类TokenValidator.scope_insufficient()实现authlib/oauth2/rfc6749/resource_protector.pystaticmethod def scope_insufficient(token_scopes, required_scopes): if not required_scopes: return False token_scopes scope_to_list(token_scopes) if not token_scopes: return True token_scopes set(token_scopes) for scope in required_scopes: resource_scopes set(scope_to_list(scope)) if token_scopes.issuperset(resource_scopes): return False return True逻辑要点列表中的每一项如profile email、user是一个独立候选条件任一条件满足即通过OR 语义每一项内部按空格拆分为多个 scope要求令牌 scope 集合是它的超集AND 语义使用issuperset无required_scopes时不校验令牌无任何 scope 时直接判定不足。字符串与列表的互相转换由 authlib/oauth2/rfc6749/util.py 的scope_to_list()/list_to_scope()完成。仓库测试 tests/flask/test_oauth2/test_oauth2_server.py 验证了 AND 模式返回 403insufficient_scope、OR 模式返回 200 的行为。可选认证optionalTrue 服务公开端点require_oauth还有一个用于服务公开端点的参数docs/oauth2/resource-server/flask.rstapp.route(/timeline) require_oauth(optionalTrue) def timeline_api(): if current_token: return get_user_timeline(current_token.user) return get_public_timeline()在 authlib/integrations/flask_oauth2/resource_protector.py 的实现中optionalTrue只在捕获到MissingAuthorizationError请求未携带任何 Authorization 头时直接放行若携带了令牌但校验失败无效、过期或 scope 不足依然返回错误响应绝不会让一个无效令牌悄悄通过。测试 tests/flask/test_oauth2/test_oauth2_server.py 验证无令牌访问返回匿名数据携带合法令牌则返回对应用户数据。在 MethodView 与 Flask-Restful 中使用装饰器同样适用于flask.views.MethodView与flask_restful.Resourcedocs/oauth2/resource-server/flask.rstfrom flask.views import MethodView class UserAPI(MethodView): decorators [require_oauth(profile)] from flask_restful import Resource class UserAPI(Resource): method_decorators [require_oauth(profile)]两者的原理都是通过类属性decorators/method_decorators将装饰器应用到类内所有方法上确保每个 HTTP 方法GET/POST/PUT/DELETE在进入视图函数前先完成令牌与 scope 校验。完整校验链路与请求解析ResourceProtector的请求校验在 authlib/oauth2/rfc6749/resource_protector.py 中串联执行def validate_request(self, scopes, request, **kwargs): validator, token_string self.parse_request_authorization(request) validator.validate_request(request) token validator.authenticate_token(token_string) validator.validate_token(token, scopes, request, **kwargs) return token四个步骤分别是解析 Authorization 头parse_request_authorization()读取Authorization: Bearer token按空格拆分为令牌类型与令牌字符串无头则抛MissingAuthorizationError401类型不受支持则抛UnsupportedTokenTypeError见 authlib/oauth2/rfc6749/resource_protector.py校验请求本身validate_request()默认空实现可覆写以实现「要求特定请求头」等额外约束认证令牌调用你实现的authenticate_token()查询令牌对象校验令牌检查过期、吊销与 scope 充分性。Flask 集成层通过 authlib/integrations/flask_oauth2/requests.py 的FlaskJsonRequest将 Flask 请求包装为框架无关的JsonRequest再交给上述链路处理authlib/integrations/flask_oauth2/resource_protector.py。出错时由raise_error_response()将OAuth2Error转换为带 JSON 响应体与WWW-Authenticate: Bearer realm..., errorinvalid_token, error_description...头的 HTTP 异常authlib/integrations/flask_oauth2/errors.py 与 authlib/oauth2/rfc6750/errors.py。错误响应速查基于 authlib/oauth2/rfc6750/errors.py 与仓库测试 tests/flask/test_oauth2/test_oauth2_server.py 的验证各失败场景的响应如下场景HTTP 状态码error 字段请求头缺失 Authorization401missing_authorizationAuthorization 类型不受支持如invalid token401unsupported_token_type令牌不存在 / 已过期 / 已吊销401invalid_token令牌有效但 scope 不足403insufficient_scope小结借助 Authlib 的 Flask 集成你可以用极少的样板代码为 API 构建完整的 Bearer Token 资源保护层定义BearerTokenValidator或使用create_bearer_token_validator/IntrospectTokenValidator→ 注册到ResourceProtector→ 用require_oauth装饰器或acquirewith 语句保护端点。多 scope 的 AND/OR/混合语义、optionalTrue公开端点、current_token代理与 MethodView 集成覆盖了资源服务器开发的绝大多数实战场景且每一项都有 tests/flask/test_oauth2/test_oauth2_server.py 中的测试用例作为行为佐证。若需与 Django 集成对比可参考同目录的 docs/oauth2/resource-server/django.rst。赞分享【免费下载链接】authlibThe ultimate Python library in building OAuth, OpenID Connect clients and servers. JWS, JWE, JWK, JWA, JWT included.项目地址https://gitcode.com/gh_mirrors/au/authlib点击查看免费下载相关推荐Everywhere 安装部署指南在 Windows 上快速用上屏幕感知 AI 助手Everywhere 安装部署指南在 Windows 上快速用上屏幕感知 AI 助手 Everywhere 是一款屏幕感知型的桌面 AI 助手它能直接读懂你Authlib Django 资源服务器集成使用 require_oauth 保护你的 API 端点Authlib Django 资源服务器集成使用 require_oauth 保护你的 API 端点 本文聚焦 Authlib 中 Django 资源服务器Authlib 实战用 Flask 构建 OAuth 1.0 资源服务器与 ResourceProtector 权限保护Authlib 实战用 Flask 构建 OAuth 1.0 资源服务器与 ResourceProtector 权限保护 导读 在 OAuth 1.0 协议体上一篇Certbot 跨平台兼容层解析certbot.compat.os 模块的安全文件操作设计下一篇Ray Core 任务全生命周期深度剖析从 ray.remote 定义到 ray.get 返回创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考