FastAPI 中如何使用 Security 和 Scopes？-JavaScript中文网-JavaScript教程资源分享门户

推荐答案

在 FastAPI 中，Security 和 Scopes 通常用于实现基于权限的访问控制。Security 是一个依赖项，用于验证请求的安全性，而 Scopes 则用于定义和验证用户的权限范围。

以下是一个使用 Security 和 Scopes 的示例：

// www.javascriptcn.com code example
from fastapi import FastAPI, Depends, Security, HTTPException
from fastapi.security import OAuth2PasswordBearer, SecurityScopes
from pydantic import BaseModel
from typing import List

app = FastAPI()

oauth2_scheme = OAuth2PasswordBearer(tokenUrl="token")

class User(BaseModel):
    username: str
    scopes: List[str] = []

def get_current_user(security_scopes: SecurityScopes, token: str = Depends(oauth2_scheme)):
    if token == "fake-token":
        user = User(username="john", scopes=["read:items", "write:items"])
    else:
        raise HTTPException(status_code=401, detail="Invalid token")
    
    for scope in security_scopes.scopes:
        if scope not in user.scopes:
            raise HTTPException(
                status_code=403,
                detail=f"Not enough permissions. Required scopes: {security_scopes.scopes}"
            )
    
    return user

@app.get("/items/")
def read_items(current_user: User = Security(get_current_user, scopes=["read:items"])):
    return {"message": "You have read access to items"}

@app.post("/items/")
def create_item(current_user: User = Security(get_current_user, scopes=["write:items"])):
    return {"message": "You have write access to items"}

本题详细解读

1. `Security` 和 `Scopes` 的作用

Security: Security 是 FastAPI 提供的一个依赖项，用于处理请求的安全性验证。它通常与 OAuth2、JWT 等认证机制结合使用，确保只有经过认证的用户才能访问特定的路由。
Scopes: Scopes 用于定义用户的权限范围。通过 Scopes，可以限制用户只能访问其拥有权限的资源。例如，某些用户可能只有读取权限，而另一些用户则拥有写入权限。

2. 代码解析

OAuth2PasswordBearer: 这是一个 FastAPI 提供的安全工具，用于处理 OAuth2 密码模式的认证。它从请求头中提取 Authorization 字段，并验证其有效性。
get_current_user: 这是一个依赖项函数，用于获取当前用户的信息。它接收 SecurityScopes 参数，该参数包含了当前路由所需的权限范围。函数会检查用户的 scopes 是否满足要求，如果不满足则抛出 HTTPException。
Security: 在路由中使用 Security 依赖项，可以确保只有满足特定权限范围的用户才能访问该路由。例如，read_items 路由要求用户拥有 read:items 权限，而 create_item 路由要求用户拥有 write:items 权限。

3. 使用场景

权限控制: 通过 Security 和 Scopes，可以实现细粒度的权限控制，确保不同用户只能访问其拥有权限的资源。
API 安全性: 结合 OAuth2 或 JWT 等认证机制，可以确保 API 的安全性，防止未经授权的访问。

4. 注意事项

Scopes 的定义: 在设计 API 时，需要合理定义 Scopes，确保每个路由的权限范围清晰明确。
错误处理: 在权限验证失败时，应返回适当的 HTTP 状态码和错误信息，以便客户端能够正确处理错误情况。

通过以上方式，可以在 FastAPI 中有效地使用 Security 和 Scopes 来实现基于权限的访问控制。

FastAPI 中如何使用 Security 和 Scopes？