权限管理是一个很常见的功能模块，本文基于RBAC模型针对于多用户，多角色，多权限的场景，介绍一种Flask权限管理方案。
Flask系列文章：
本文将在开发初探的代码基础上进行重构。
介绍
在本文所述场景中，具体的权限管理是：权限和角色关联，给用户添加角色，用户即拥有角色的权限，也就是基于角色的权限控制。当然，若需要基于用户的权限控制也是可以的，只需要修改下相关数据结构即可。
具体的权限验证采用了位运算，将权限值用十六进制表示，每个角色拥有一个权限总值，当判断该角色是否有特定权限时：
In [1]: permission = 0X02
In [2]: permissions = 0X0D
In [3]: print((permissions & permission) == permission)
False
In [4]: permissions = 0X07
In [5]: print((permissions & permission) == permission)
True
返回值为True表示拥有该权限，False为没有该权限，原理与位运算的原理有关。
0x07 = 0x01 + 0x02 + 0x04
转换为二进制数值可以看做是：0111 = 0001 + 0010 + 0100
按照位运算，运算符&（按位与）相应位都为1，则该位为1，否则为0，那么权限总值和权限值执行按位与运算，结果恒为权限值时才能得出拥有该权限。
实现
创建
首先，针对以上场景，我们创建数据表。
用户
创建用户表，保存用户信息和对应的角色：
class User(db.Model):
"""
用户表
"""
__tablename__ = "user"
id = db.Column(db.Integer, primary_key=True)
name = db.Column(db.String(128), unique=True)
email = db.Column(db.String(128))
password = db.Column(db.String(128))
role_id = db.Column(db.Integer)
def __init__(self, name, email, password):
self.name = name
self.email = email
self.password = bcrypt_sha256.encrypt(str(password))
权限
创建权限类，赋予每种操作权限值，这里举例用户管理和更新权限：
class Permissions:
"""
权限类
"""
USER_MANAGE = 0X01
UPDATE_PERMISSION = 0x02
角色
需要创建角色表结构，我们暂定两种角色：普通用户和管理员，并初始化角色和权限。
class Role(db.Model):
"""
角色表
"""
__tablename__ = "role"
id = db.Column(db.Integer, primary_key=True)
name = db.Column(db.String(128), unique=True, commit="角色名")
permissions = db.Column(db.Integer, commit="权限总值")
@staticmethod
def init_role():
role_name_list = ['user', 'admin']
roles_permission_map = {
'user': [Permissions.USER_MANAGE],
'admin': [Permissions.USER_MANAGE, Permissions.UPDATE_PERMISSION]
}
try:
for role_name in role_name_list:
role = Role.query.filter_by(name=role_name).first()
if not role:
role = Role(name=role_name)
role.reset_permissions()
for permission in roles_permission_map[role_name]:
role.add_permission(permission)
db.session.add(role)
db.session.commit()
except:
db.session.rollback()
db.session.close()
def reset_permissions(self):
self.permissions = 0
def has_permission(self, permission):
return self.permissions & permission == permission
def add_permission(self, permission):
if not self.has_permission(permission):
self.permissions += permission
随着应用更新，权限值会不断增加，角色对应的权限值随之增大，为了保证每次更新同步到表，可以在flask应用初始化时添加：
Role.init_role()
这样，我们就赋予了每个角色其拥有的权限值。
重启应用，可以看到role表：
鉴权
前期数据准备妥当了，接下来就是鉴权。
为了保证访问的安全性，需要对接口和权限进行关联绑定，我尝试过两种方案：
1. 装饰器
封装装饰器，对接口视图函数进行装饰，装饰器传入权限值作为参数，在装饰器中根据用户角色的权限和权限值进行对比，判断该用户是否有该接口的访问权限。
刚开始我是用这种方式的，小型应用接口不多的场景下使用还好，但随着应用愈来愈复杂，赋权操作就有点繁琐。
2. 接口赋权
这是我在装饰器之后想到的一种方式，在大型应用接口比较多的情况下比较推荐，而且这种方式耦合度低，易于扩展。
具体操作：首先，将接口地址和权限关联，接口比较多的话，推荐用蓝图，基本上保证一个蓝图中的接口是一个权限，这样操作会简单一些，然后，在应用初始化时将接口地址和权限入库，这样可以保证每次重启应用后数据都是最新的，最后，当用户登录时，会根据用户角色和请求的地址判断其是否有权限访问。
以上两种方式，今天以装饰器鉴权举例说明。
首先，创建鉴权装饰器：
from functools import wraps
from flask import session, abort
from app.models import db, Users, Role
Permission_code = [0X01, 0X02]
def permission_can(current_user, permission):
"""
检测用户是否有特定权限
:param current_user
:param permission
:return:
"""
role_id = current_user.role_id
role = db.session.query(Role).filter_by(id=role_id).first()
return (role.permissions & permission) == permission
def permission_required(permission):
"""
权限认证装饰器
:param permission:
:return:
"""
def decorator(f):
@wraps(f)
def decorated_function(*args, **kwargs):
try:
current_user = Users.query.filter_by(id=session.get('user_id')).first()
if not current_user and permission_can(current_user, permission):
abort(403)
return f(*args, **kwargs)
except:
abort(403)
return decorated_function
return decorator
其中，用到了flask session，获取当前登录用户的user_id，根据当前用户的角色判断其是否拥有该权限permission。
然后在视图函数上添加该装饰器，就可以鉴权了。举例用户管理功能：
@user.route('/user-manage', methods=['POST', 'GET'])
@permission_required(Permissions.USER_MANAGE)
def user_manage():
"""
用户管理
:return:
"""
if request.method == 'POST':
# 处理...
ret_data = dict(code=0, ret_msg='user manage')
else:
# 数据处理 ...
ret_data = dict(code=0, ret_msg='user list')
return jsonify(ret_data)
最后，分别构造请求，访问接口测试：
import requests
session = requests.Session()
# login
login_url = 'http://0.0.0.0:9001/login'
login_data = dict(user='test', pwd='pwd')
login_request = session.post(login_url, json=login_data)
print(login_request.json())
# user_manage
user_manage_url = 'http://0.0.0.0:9001/user-manage'
login_request = session.post(user_manage_url)
print(login_request.json())
# permission_manege
permission_manage_url = 'http://0.0.0.0:9001/permission-manage'
login_request = session.post(permission_manage_url)
print(login_request.json())
具体代码见 my github
以上。