Flask Flask-Admin & Authentication: “/admin” 受保护，但 “/admin/anything-else” 不受保护

在本文中，我们将介绍Flask中的Flask-Admin扩展及其在身份验证中的使用。我们还将解释为什么在Flask-Admin中，路径”/admin”是受保护的，但路径”/admin/anything-else”不受保护。

阅读更多：Flask 教程

什么是Flask-Admin？

Flask-Admin是一个用于管理后台界面的扩展库，可以轻松创建和配置后台管理界面。它能够生成基于数据模型的管理界面，包括列表、编辑、删除等功能。Flask-Admin可以帮助开发者快速搭建一个具有强大功能的后台管理系统。

身份验证和授权

在网络应用程序中，身份验证和授权是非常重要的。身份验证是通过验证用户的身份来确保只有授权用户能够访问某些资源或执行某些操作。授权则是为授权用户分配特定的权限和角色，以便限制其对资源的访问。

Flask提供了很多身份验证和授权的扩展库，例如Flask-Login和Flask-Principal。这些扩展库可以与Flask-Admin一起使用，以确保只有授权用户能够访问Flask-Admin的管理界面。

使用Flask-Admin进行身份验证

Flask-Admin 默认对 “/admin” 进行了身份验证，这意味着只有经过身份验证的用户才能访问管理界面。为了实现身份验证，我们需要使用Flask-Login库来处理用户的登录和注销。

下面是一个使用Flask-Admin和Flask-Login的示例代码：

from flask import Flask
from flask_admin import Admin
from flask_admin.contrib.sqla import ModelView
from flask_login import LoginManager, current_user

app = Flask(__name__)
app.config['SECRET_KEY'] = 'your-secret-key'

admin = Admin(app, name='Admin', template_mode='bootstrap3')

login_manager = LoginManager(app)
login_manager.login_view = 'login'

class User:
    def __init__(self, id):
        self.id = id

@login_manager.user_loader
def load_user(id):
    return User(id)

# 定义一个ModelView来处理User模型的管理
class UserView(ModelView):
    def is_accessible(self):
        return current_user.is_authenticated

admin.add_view(UserView(User, db.session))

在上述代码中，我们通过创建一个名为 “Admin” 的Flask-Admin实例，并将其绑定到应用程序上。我们还创建了一个ModelView来管理User模型，并通过is_accessible()方法来控制用户的访问权限。只有通过身份验证的用户才能访问管理界面。

“/admin/anything-else” 不受保护的原因

可能有人会问，为什么”/admin”是受保护的，但”/admin/anything-else”不受保护呢？

这是因为Flask-Admin的URL分派规则是基于最长前缀匹配的。Flask-Admin会将”/admin”作为一个根路径，并将其用于所有以”/admin”开头的URL。因此，当我们访问”/admin/anything-else”时，Flask-Admin认为它是一个不需要受保护的路径。

如果我们希望对”/admin/anything-else”进行身份验证，我们可以在ModelView中添加登录限制，如下所示：

class MyView(ModelView):
    def is_accessible(self):
        return current_user.is_authenticated

    def inaccessible_callback(self, name, **kwargs):
        # 用户未登录时的处理逻辑
        return redirect(url_for('login'))

通过重写inaccessible_callback()方法，我们可以在用户未登录时将其重定向到登录页面或执行其他自定义逻辑。

总结

在本文中，我们介绍了Flask-Admin和身份验证的基础知识。我们了解到Flask-Admin是一个用于管理后台界面的扩展库，可以轻松创建和配置后台管理界面。我们还讨论了Flask-Admin中路径保护的问题，并解释了为什么”/admin”受保护但”/admin/anything-else”不受保护。通过使用Flask-Login库，我们可以实现用户身份验证和授权，并在Flask-Admin中限制用户的访问权限。

希望本文对你在使用Flask-Admin和身份验证时有所帮助。如果你有任何问题或疑虑，请随时提问。