Pyramid 中混合认证策略

1. 问题背景

在一个使用 Pyramid 框架开发的应用程序中，需要同时处理 HTML 内容的显示和 JSON API 的请求。对于 HTML 内容，使用了 AuthTktAuthenticationPolicy 进行身份验证和 ACLAuthorizationPolicy 进行授权。当用户成功登录后，会在浏览器中设置 auth_tkt cookie，并且系统能够正常运行。

现在，需要为 JSON API 请求实现类似的身份验证和授权机制。不同的是，对于 JSON API 请求，用户不一定需要登录，因此需要在每次请求中包含一个 api_key 参数。根据该参数，如果找到一个有效的用户，则返回 JSON 数据；否则，显示一个 403 页面。

一种方法是在每个视图中进行如下操作：

api_key = request.GET.get('api_key',None)
user = FrontEndUsers.User_by_api_key(api_key)
if user: #Process view
else:return HTTPForbidden

但是，在每个视图中重复执行相同的身份验证逻辑似乎过于冗余，而且与身份验证策略的功能相同。因此，考虑是否可以为 JSON 路由指定一个单独的身份验证策略，或者是否有其他方法来实现这一目标。

2. 解决方案

方案一：使用 pyramid_multiauth 包

Pyramid_multiauth 包提供了一种简单的方法来在 Pyramid 中使用多个身份验证策略。首先，需要安装 pyramid_multiauth 包：

pip install pyramid_multiauth

然后，在应用程序的配置文件中添加以下配置：

[authentication]
policies = multiauth.MultiAuthenticationPolicy
policies.multiauth.policies = ["tkt_authn_policy", "basic_authn_policy"]

在上面的配置中，tkt_authn_policy 和 basic_authn_policy 是要使用的两个身份验证策略的名称。

最后，在视图中使用 pyramid_multiauth 提供的认证装饰器来保护视图：

@view_config(route_name='api_view', renderer='json',require_csrf=False)
@multiauth.multi_authenticated(require=['basic_authn_policy','tkt_authn_policy'])
def api_view(request):# 视图代码

方案二：编写自定义身份验证策略

也可以编写一个自定义的身份验证策略，该策略可以根据请求属性将请求分发到不同的身份验证策略。

首先，需要创建一个自定义身份验证策略类，该类继承自 pyramid.authentication.AuthTktAuthenticationPolicy。

from pyramid.authentication import AuthTktAuthenticationPolicyclass MultiAuthPolicy(AuthTktAuthenticationPolicy):def authenticated_userid(self, request):if 'api_key' in request.GET:# 使用 api_key 进行身份验证return self.authenticated_userid_with_api_key(request)else:# 使用传统的 AuthTktAuthenticationPolicy 进行身份验证return super().authenticated_userid(request)def authenticated_userid_with_api_key(self, request):# 根据 api_key 获取用户 ID# 根据用户 ID 获取用户对象# 返回用户对象

然后，在应用程序的配置文件中添加以下配置：

[authentication]
policies = multiauth

最后，在视图中使用自定义身份验证策略：

@view_config(route_name='api_view', renderer='json', require_csrf=False)
@multiauth.authenticated(check_credentials=False)
def api_view(request):# 视图代码

通过上述两种方法，可以实现为 JSON 路由指定单独的身份验证策略，从而简化身份验证逻辑，提高代码的可维护性。