Flask-Principal 是一個專為 Flask 應用設計的身份管理和權限控制擴展。它能夠幫助開發者輕松實現用戶身份驗證和權限管理，從而提升應用的安全性和用戶體驗。該項目最初由 Ali Afshar 開發，現已成為 Pallets 社區生態系統的一部分，由社區共同維護。

1. 安裝 Flask-Principal

首先，需要安裝 Flask-Principal。可以通過以下命令安裝：

?

pip install flask-principal

2. 基本配置

在 Flask 應用中配置 Flask-Principal，初始化擴展并定義權限

from flask import Flask
from flask_principal import Principal, Permission, RoleNeedapp = Flask(__name__)
app.secret_key = 'your_secret_key'  # 用于會話管理# 初始化 Flask-Principal
principals = Principal(app)# 定義權限
admin_permission = Permission(RoleNeed('admin'))

3. 定義用戶模型

假設你已經有一個用戶模型，用戶模型中包含角色信息。例如：

class User(db.Model):id = db.Column(db.Integer, primary_key=True)username = db.Column(db.String(80), unique=True)roles = db.relationship('Role', secondary='user_roles')class Role(db.Model):id = db.Column(db.Integer, primary_key=True)name = db.Column(db.String(80), unique=True)class UserRole(db.Model):id = db.Column(db.Integer, primary_key=True)user_id = db.Column(db.Integer, db.ForeignKey('user.id'))role_id = db.Column(db.Integer, db.ForeignKey('role.id'))

4. 身份加載器

定義一個身份加載器，用于在用戶登錄時加載用戶的角色和權限

?

from flask_login import current_user
from flask_principal import identity_loaded, RoleNeed, UserNeed@identity_loaded.connect_via(app)
def on_identity_loaded(sender, identity):# 設置當前用戶對象identity.user = current_user# 添加用戶 IDif hasattr(current_user, 'id'):identity.provides.add(UserNeed(current_user.id))# 添加用戶角色if hasattr(current_user, 'roles'):for role in current_user.roles:identity.provides.add(RoleNeed(role.name))

5. 保護視圖

使用 Permission 對象保護視圖，確保只有具有相應權限的用戶才能訪問

?

@app.route('/admin')
@admin_permission.require(http_exception=403)
def admin_dashboard():return "Welcome to the admin dashboard!"

也可以使用上下文管理器來保護視圖中的部分代碼

?

@app.route('/articles')
def articles():with admin_permission.require():return "Only admins can see this"

6. 登錄與注銷

在用戶登錄時，發送身份更改信號

?

from flask_principal import Identity, identity_changed@app.route('/login', methods=['GET', 'POST'])
def login():# 假設有一個登錄表單form = LoginForm()if form.validate_on_submit():user = User.query.filter_by(username=form.username.data).first()if user and user.check_password(form.password.data):login_user(user)identity_changed.send(app, identity=Identity(user.id))return redirect(url_for('admin_dashboard'))return render_template('login.html', form=form)

在用戶注銷時，清除身份信息

?

from flask_principal import AnonymousIdentity@app.route('/logout')
def logout():logout_user()for key in ('identity.name', 'identity.auth_type'):session.pop(key, None)identity_changed.send(app, identity=AnonymousIdentity())return redirect(url_for('login'))

7. 自定義權限

除了基于角色的權限，還可以定義更復雜的權限需求。例如，定義一個基于特定操作的權限

?

edit_permission = Permission(RoleNeed('editor'))@app.route('/edit_article')
@edit_permission.require(http_exception=403)
def edit_article():return "Only editors can edit articles"

8. 總結

Flask-Principal 提供了一種靈活的方式來實現基于角色和權限的訪問控制。通過定義權限、加載用戶身份和保護視圖，可以輕松實現復雜的授權邏輯。結合 Flask-Login，可以實現完整的用戶認證和授權系統。

希望這些信息能幫助你更好地使用 Flask-Principal！