Poszukuję porady, aby zabezpieczyć prywatne API REST napisane w python-flasku

Question

Obecnie piszę API odpoczynku w pythonie z kolbą microframework. To prywatne API i zajmuje się danymi użytkownika. Mam zamiar korzystać z tego interfejsu API do tworzenia stron internetowych i aplikacji na Androida.

Na razie używam digest auth, aby zabezpieczyć prywatne dane użytkownika. Na przykład, jeśli chcesz opublikować dane w mojej usłudze za pomocą boba użytkownika, wysyłasz prośbę o wpis na myapi/story/create i podaj poświadczenia boba za pomocą wzorca digest.

Jestem świadomy nie jest to dobre rozwiązanie, ponieważ:
Lista -digest auth nie jest bezpieczna
-The klient nie jest uwierzytelniony (? Jak zabezpieczyć żądań nie związanych z bieżącego użytkownika, na przykład tworzenie nowego użytkownika)

Przeczytałem wiele rzeczy na temat oAuth, ale uwierzytelnienie na trzech nogach wydaje się przesadzone, ponieważ nie planuję otwierania mojego API na stronę trzecią.
Dwuetapowa autoryzacja oAuth nie będzie pasować, ponieważ zapewnia tylko uwierzytelnianie klientom, a nie użytkownikom.
Kolejnym problemem związanym z oAuth jest to, że nie znalazłem wyczerpującego przewodnika do implementacji go w Pythonie. Znalazłem bibliotekę python-oauth2, ale nie rozumiem przykładu serwera i nie mogę znaleźć dodatkowej dokumentacji. Poza tym wydaje się, że wiele aspektów OAuth nie jest opisanych w tym przykładzie.

Więc moje pytania to:

1. Czy istnieje alternatywny system (nie OAuth) dla authenticate klient i użytkownik z rozsądnym poziomem bezpieczeństwa?
2. Jeśli oAuth jest najlepszym rozwiązaniem:
   • Jak pominąć proces autoryzacji (ponieważ użytkownicy nie będą musieli autoryzować klientów zewnętrznych)?
   • Czy istnieje szczegółowa dokumentacja dla Pythona-oauth2 lub jakiejkolwiek innej biblioteki Pythona?

Każda pomoc lub porada zostanie doceniona.

Answer 1

Odpowiedź jest prosta narażać API tylko poprzez HTTPS, a następnie za pomocą podstawowego uwierzytelniania HTTP. Nie sądzę, żeby istniał jakiś powód, by zawracać sobie głowę Digest. Podstawowe uwierzytelnianie jest niezabezpieczone, ale jest przesyłane przy każdym żądaniu, więc nigdy nie musisz się martwić o to, że twoje uwierzytelnienie przestanie działać. Tunelując go przez HTTPS, masz bezpieczne połączenie.

Jeśli chcesz uwierzytelnić klienta, możesz użyć certyfikatów klienta SSL.Ogólnie rzecz biorąc, naprawdę trudno jest naprawdę zablokować klienta przed złośliwymi użytkownikami, dlatego chciałbym, aby funkcje rejestracji były jawnie dostępne i chroniły się przed DOS-em itp. Poprzez pozapasmową weryfikację konta.

Answer 2

Czy rozważałeś już korzystanie z podstawowego uwierzytelnienia?

Nie wykorzystałem jeszcze wspomnianej struktury, ale użyłem podstawowego uwierzytelnienia do ochrony niektórych adresów URL w aplikacji opartej na web.py i działałem dobrze.

Zasadniczo możesz użyć tokena w base64, który jest w rzeczywistości standardowym heseterem http.

Może ten przykład może pomóc:

class Login: 

    def GET(self): 
     auth = web.ctx.env.get('HTTP_AUTHORIZATION') 
     authreq = False 
     if auth is None: 
      authreq = True 
     else: 
      auth = re.sub('^Basic ','',auth) 
      username,password = base64.decodestring(auth).split(':') 
      if (username,password) in settings.allowed: 
       raise web.seeother('/eai') 
      else: 
       authreq = True 
     if authreq: 
      web.header('WWW-Authenticate','Basic realm="Auth example"') 
      web.ctx.status = '401 Unauthorized' 
      return 

Answer 3

Jeśli jesteś zainteresowany podstawowym uwierzytelnianiem, oto krótki atrybut, który możesz wykorzystać do dekoracji swoich opiekunów http://www.varunpant.com/posts/basic-authentication-in-web-py-via-attribute. Ten przykład jest napisany przede wszystkim w kontekście web.py, ale domyślam się, że można go łatwo poprawić.

def check_auth(username, password): 
    return username == 'username' and password == 'password' 


def requires_auth(f): 
    @wraps(f)  
    def decorated(*args, **kwargs):   
     auth = web.ctx.env['HTTP_AUTHORIZATION'] if 'HTTP_AUTHORIZATION' in web.ctx.env else None 
     if auth: 
      auth = re.sub('^Basic ', '', auth) 
      username, password = base64.decodestring(auth).split(':') 
     if not auth or not check_auth(username, password): 
      web.header('WWW-Authenticate', 'Basic realm="admin"') 
      web.ctx.status = '401 Unauthorized' 
      return 

     return f(*args, **kwargs) 

    return decorated 

Answer 4

Może to trochę za późno, ale bardzo mi to pomogło. W zasadzie wyjaśnia jak działa zabezpieczenie w Amazon (oni nie obsługuje OAuth)

http://www.thebuzzmedia.com/designing-a-secure-rest-api-without-oauth-authentication/