Pyramid 中混合认证策略

1. 问题背景

在一个使用 Pyramid 框架开发的应用程序中，需要同时处理 HTML 内容的显示和 JSON API 的请求。对于 HTML 内容，使用了 AuthTktAuthenticationPolicy 进行身份验证和 ACLAuthorizationPolicy 进行授权。当用户成功登录后，会在浏览器中设置 auth_tkt cookie，并且系统能够正常运行。

现在，需要为 JSON API 请求实现类似的身份验证和授权机制。不同的是，对于 JSON API 请求，用户不一定需要登录，因此需要在每次请求中包含一个 api_key 参数。根据该参数，如果找到一个有效的用户，则返回 JSON 数据；否则，显示一个 403 页面。文章源自灵鲨社区-https://www.0s52.com/bcjc/pythonjc/16537.html

一种方法是在每个视图中进行如下操作：文章源自灵鲨社区-https://www.0s52.com/bcjc/pythonjc/16537.html

api_key = request.GET.get('api_key',None)
user = FrontEndUsers.User_by_api_key(api_key)
if user: 
    #Process view
else:
    return HTTPForbidden

但是，在每个视图中重复执行相同的身份验证逻辑似乎过于冗余，而且与身份验证策略的功能相同。因此，考虑是否可以为 JSON 路由指定一个单独的身份验证策略，或者是否有其他方法来实现这一目标。文章源自灵鲨社区-https://www.0s52.com/bcjc/pythonjc/16537.html

2. 解决方案

方案一：使用 pyramid_multiauth 包文章源自灵鲨社区-https://www.0s52.com/bcjc/pythonjc/16537.html

Pyramid_multiauth 包提供了一种简单的方法来在 Pyramid 中使用多个身份验证策略。首先，需要安装 pyramid_multiauth 包：文章源自灵鲨社区-https://www.0s52.com/bcjc/pythonjc/16537.html

pip install pyramid_multiauth

然后，在应用程序的配置文件中添加以下配置：文章源自灵鲨社区-https://www.0s52.com/bcjc/pythonjc/16537.html

[authentication]
policies = multiauth.MultiAuthenticationPolicy
policies.multiauth.policies = ["tkt_authn_policy", "basic_authn_policy"]

在上面的配置中，tkt_authn_policy 和 basic_authn_policy 是要使用的两个身份验证策略的名称。文章源自灵鲨社区-https://www.0s52.com/bcjc/pythonjc/16537.html

最后，在视图中使用 pyramid_multiauth 提供的认证装饰器来保护视图：文章源自灵鲨社区-https://www.0s52.com/bcjc/pythonjc/16537.html

@view_config(route_name='api_view', renderer='json',require_csrf=False)
@multiauth.multi_authenticated(require=['basic_authn_policy','tkt_authn_policy'])
def api_view(request):
    # 视图代码

方案二：编写自定义身份验证策略文章源自灵鲨社区-https://www.0s52.com/bcjc/pythonjc/16537.html

也可以编写一个自定义的身份验证策略，该策略可以根据请求属性将请求分发到不同的身份验证策略。文章源自灵鲨社区-https://www.0s52.com/bcjc/pythonjc/16537.html

首先，需要创建一个自定义身份验证策略类，该类继承自 pyramid.authentication.AuthTktAuthenticationPolicy。

from pyramid.authentication import AuthTktAuthenticationPolicy

class MultiAuthPolicy(AuthTktAuthenticationPolicy):
    def authenticated_userid(self, request):
        if 'api_key' in request.GET:
            # 使用 api_key 进行身份验证
            return self.authenticated_userid_with_api_key(request)
        else:
            # 使用传统的 AuthTktAuthenticationPolicy 进行身份验证
            return super().authenticated_userid(request)

    def authenticated_userid_with_api_key(self, request):
        # 根据 api_key 获取用户 ID
        # 根据用户 ID 获取用户对象
        # 返回用户对象

然后，在应用程序的配置文件中添加以下配置：

[authentication]
policies = multiauth

最后，在视图中使用自定义身份验证策略：

@view_config(route_name='api_view', renderer='json', require_csrf=False)
@multiauth.authenticated(check_credentials=False)
def api_view(request):
    # 视图代码

通过上述两种方法，可以实现为 JSON 路由指定单独的身份验证策略，从而简化身份验证逻辑，提高代码的可维护性。