Pyramid框架教程：实现用户认证系统-CSDN博客

本文链接：https://blog.csdn.net/gitblog_00378/article/details/148550101

Pyramid框架教程：实现用户认证系统

pyramid Pyramid - A Python web framework 项目地址: https://gitcode.com/gh_mirrors/py/pyramid

概述

在Web应用开发中，用户认证是一个基础且关键的功能。本文将详细介绍如何在Pyramid框架中实现完整的用户认证系统，包括登录、登出、权限控制等功能。

认证系统架构

Pyramid的认证系统基于以下几个核心组件：

安全策略(Security Policy)：负责处理身份验证和授权逻辑
视图保护：控制哪些视图需要认证
用户界面：提供登录表单和状态显示

实现步骤

1. 创建安全策略

安全策略是认证系统的核心，我们创建一个继承自pyramid.interfaces.ISecurityPolicy的类：

from pyramid.authentication import AuthTktCookieHelper
from pyramid.request import RequestLocalCache

class MySecurityPolicy:
    def __init__(self, secret):
        self.helper = AuthTktCookieHelper(secret=secret)
        self.identity_cache = RequestLocalCache(self.load_identity)
    
    def load_identity(self, request):
        identity = self.helper.identify(request)
        if identity is None:
            return None
        
        userid = identity['userid']
        user = request.dbsession.query(User).get(userid)
        return user
    
    def remember(self, request, userid, **kw):
        return self.helper.remember(request, userid, **kw)
    
    def forget(self, request, **kw):
        return self.helper.forget(request, **kw)
    
    def authenticated_userid(self, request):
        user = self.identity_cache.get_or_create(request)
        if user is not None:
            return user.id
    
    def identity(self, request):
        return self.identity_cache.get_or_create(request)

这个策略使用cookie来跟踪用户身份，并实现了以下功能：

从请求中加载用户身份
记住用户登录状态
清除用户登录状态
获取当前认证用户ID
获取完整的用户身份对象

2. 配置安全设置

在配置文件中添加认证密钥：

[app:main]
auth.secret = your-secret-key-here

注意：生产环境和开发环境应使用不同的密钥。

3. 实现登录和登出功能

创建认证视图处理登录和登出：

from pyramid.view import view_config, forbidden_view_config
from pyramid.httpexceptions import HTTPFound, HTTPForbidden
from pyramid.security import remember, forget

@view_config(route_name='login', renderer='login.jinja2')
def login(request):
    if request.method == 'POST':
        username = request.params.get('username')
        password = request.params.get('password')
        
        user = request.dbsession.query(User).filter_by(name=username).first()
        if user and user.check_password(password):
            headers = remember(request, user.id)
            request.csrf_token = new_csrf_token()
            next_url = request.params.get('next', '/')
            return HTTPFound(location=next_url, headers=headers)
    
    return {}

@view_config(route_name='logout')
def logout(request):
    headers = forget(request)
    request.csrf_token = new_csrf_token()
    return HTTPFound(location='/', headers=headers)

@forbidden_view_config(renderer='403.jinja2')
def forbidden_view(request):
    if request.identity is None:
        next_url = request.path
        if request.query_string:
            next_url += '?' + request.query_string
        return HTTPFound(location=request.route_url('login', _query={'next': next_url}))
    return {}

4. 创建登录模板

实现登录表单界面：

<form method="post" action="{{ request.route_url('login') }}">
    <input type="hidden" name="csrf_token" value="{{ get_csrf_token() }}">
    <input type="text" name="username" placeholder="Username">
    <input type="password" name="password" placeholder="Password">
    <input type="submit" value="Login">
</form>

5. 添加导航链接

在布局模板中添加登录/登出链接：

<div class="user-actions">
    {% if request.identity %}
        <span>Welcome, {{ request.identity.name }}</span>
        <a href="{{ request.route_url('logout') }}">Logout</a>
    {% else %}
        <a href="{{ request.route_url('login') }}">Login</a>
    {% endif %}
</div>

6. 实现权限检查

在视图函数中添加权限验证：

def edit_page(request):
    pagename = request.matchdict['pagename']
    page = request.dbsession.query(Page).filter_by(name=pagename).one()
    
    if request.identity is None or (
        request.identity.role != 'editor' 
        and request.identity.id != page.creator_id
    ):
        raise HTTPForbidden()
    
    # 其余编辑逻辑...