python - 如何使用 Python Flask-Security 使用 bcrypt 加密密码?
问题描述
我正在尝试使用 Flask-Security 文档中的标准基本示例,并使其工作,除了密码以明文形式存储。
我知道这一行:
user_datastore.create_user(email='matt@nobien.net', password='password')
我可以改为:
user_datastore.create_user(email='matt@nobien.net', password=bcrypt.hashpw('password', bcrypt.gensalt()))
但我认为 Flask-Security 处理了(双重?)加盐加密,如果我添加 app.config['SECURITY_REGISTERABLE'] = True 并这次去 /register 数据库是正确加密的。
我知道我错过了一些简单的东西,但不太明白在哪里..
from flask import Flask, render_template
from flask_sqlalchemy import SQLAlchemy
from flask_security import Security, SQLAlchemyUserDatastore, UserMixin, RoleMixin, login_required
import bcrypt
# Create app
app = Flask(__name__)
app.config['DEBUG'] = True
app.config['SQLALCHEMY_TRACK_MODIFICATIONS'] = False
app.config['SECRET_KEY'] = 'super-secret'
app.config['SQLALCHEMY_DATABASE_URI'] = 'sqlite:///login.db'
app.config['SECURITY_PASSWORD_HASH'] = 'bcrypt'
app.config['SECURITY_PASSWORD_SALT'] = b'$2b$12$wqKlYjmOfXPghx3FuC3Pu.'
# Create database connection object
db = SQLAlchemy(app)
# Define models
roles_users = db.Table('roles_users',
db.Column('user_id', db.Integer(), db.ForeignKey('user.id')),
db.Column('role_id', db.Integer(), db.ForeignKey('role.id')))
class Role(db.Model, RoleMixin):
id = db.Column(db.Integer(), primary_key=True)
name = db.Column(db.String(80), unique=True)
description = db.Column(db.String(255))
class User(db.Model, UserMixin):
id = db.Column(db.Integer, primary_key=True)
email = db.Column(db.String(255), unique=True)
password = db.Column(db.String(255))
active = db.Column(db.Boolean())
confirmed_at = db.Column(db.DateTime())
roles = db.relationship('Role', secondary=roles_users,
backref=db.backref('users', lazy='dynamic'))
# Setup Flask-Security
user_datastore = SQLAlchemyUserDatastore(db, User, Role)
security = Security(app, user_datastore)
# Create a user to test with
@app.before_first_request
def create_user():
try:
db.create_all()
user_datastore.create_user(email='matt@nobien.net', password='password')
db.session.commit()
except:
db.session.rollback()
print("User created already...")
# Views
@app.route('/')
@login_required
def home():
return render_template('index.html')
if __name__ == '__main__':
app.run()
解决方案
除了存储密码,您还可以使用 python 的本机装饰器来存储密码的哈希版本,并出于安全目的使密码不可读,如下所示:
class User(db.Model, UserMixin):
id = db.Column(db.Integer, primary_key=True)
email = db.Column(db.String(255), unique=True)
password_hash = db.Column(db.String(128))
@property
def password(self):
raise AttributeError('password not readable')
@password.setter
def password(self, password):
self.password_hash = bcrypt.hashpw('password', bcrypt.gensalt()))
# or whatever other hashing function you like.
您应该在您实施的 bcrypt 技术中添加一个验证密码功能:
def verify_password(self, password)
return some_check_hash_func(self.password_hash, password)
然后您可以使用通常的方式创建用户:
User(email='a@example.com', password='abc')
并且您的数据库应该填充散列password_hash
而不是password
属性。
推荐阅读
- java - Java:当应用程序使用 Procrun 注册为 Windows 服务时,使用 ProcessBuilder 运行批处理文件
- javascript - 如何使 clearTimeout 正常工作以取消(中断)setTimeout 循环?
- asp.net - 在具有 3 个外键的数据库中插入记录
- django - urlpatterns 的行为不符合预期
- konvajs - 有什么方法可以设置/获取 konva 形状的数据?
- python - 关于 Keras/Tensorflow 中超参数调优的问题
- c# - CRUD 的泛型类 - C# 中使用存储库和工作单元模式的依赖注入
- scala - 如何将 Some 与 mockito 中的任何值匹配
- regex - 如何在wiremock的请求映射中使用主体模式
- java - 我们如何在 swagger 工具中使用 url 添加请求参数