怎样用 FastAPI 和 RBAC 打造坚如盘石的安全堡垒？

发表于 2025-6-27 14:59:57

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要登录才可以下载或查看，没有账号？立即注册

×

扫描二维码
关注大概微信搜一搜：编程智域前端至全栈交流与成长
发现1000+提升效率与开发的AI工具和实用程序：https://tools.cmdragon.cn/
一、FastAPI 安全认证与 RBAC 体系原理

1.1 RBAC 基础概念

基于脚色的访问控制（RBAC）是保护体系资源的经典模型，其核心包含三个要素：

用户（User）：体系操纵主体
脚色（Role）：权限的聚集载体（如：管理员、普通用户）
权限（Permission）：详细操纵权限（如：商品删除、订单修改）

1.2 FastAPI 安全组件

核心依赖包及版本要求：

fastapi == 0.95
.2
uvicorn == 0.22
.0
python - jose[cryptography] == 3.3
.0
passlib[bcrypt] == 1.7
.4

复制代码

安装命令：

pip install fastapi uvicorn python-jose[cryptography] passlib[bcrypt]

复制代码

二、电商平台 RBAC 体系实现

2.1 数据模型定义

利用 Pydantic 和 SQLAlchemy 构建领域模型：

from pydantic import BaseModel
from sqlalchemy import Column, Integer, String, Table, ForeignKey
class PermissionBase(BaseModel):
code: str # 权限编码，如 "order:delete"
description: str
class RoleCreate(BaseModel):
name: str
permission_ids: list[int]
# SQLAlchemy 模型
user_role = Table(
'user_role', Base.metadata,
Column('user_id', ForeignKey('users.id')),
Column('role_id', ForeignKey('roles.id'))
)
role_permission = Table(
'role_permission', Base.metadata,
Column('role_id', ForeignKey('roles.id')),
Column('permission_id', ForeignKey('permissions.id'))
)

复制代码

2.2 认证体系实现

JWT 令牌签发与验证：

from jose import JWTError, jwt
from datetime import datetime, timedelta
SECRET_KEY = "your-secret-key"
ALGORITHM = "HS256"
def create_access_token(data: dict) -> str:
expire = datetime.utcnow() + timedelta(hours=1)
return jwt.encode(
{**data, "exp": expire},
SECRET_KEY,
algorithm=ALGORITHM
)
async def get_current_user(token: str = Depends(oauth2_scheme)) -> User:
try:
payload = jwt.decode(token, SECRET_KEY, [ALGORITHM])
return await UserService.get_user(payload["sub"])
except JWTError:
raise HTTPException(401, "Invalid token")

复制代码

2.3 权限校验体系

动态权限依赖注入：

def check_permission(permission_code: str):
async def _permission_checker(
user: User = Depends(get_current_user)
):
if not any(p.code == permission_code for p in user.permissions):
raise HTTPException(403, "Permission denied")
return Depends(_permission_checker)
# 在路由中使用
@app.delete("/orders/{order_id}")
async def delete_order(
order_id: str,
_=check_permission("order:delete")
):
return OrderService.delete_order(order_id)

复制代码

三、安全防护策略

3.1 敏感数据加密

暗码存储安全处理：

from passlib.context import CryptContext
pwd_context = CryptContext(schemes=["bcrypt"], deprecated="auto")
def verify_password(plain_password: str, hashed_password: str) -> bool:
return pwd_context.verify(plain_password, hashed_password)
def get_password_hash(password: str) -> str:
return pwd_context.hash(password)

复制代码

3.2 哀求速率限制

防止暴力破解攻击：

from fastapi import Request
from fastapi.middleware import Middleware
class RateLimiter:
def __init__(self, times: int, seconds: int):
self.times = times
self.seconds = seconds
async def __call__(self, request: Request):
client_ip = request.client.host
# 使用 Redis 记录请求次数
current = await redis.incr(client_ip)
if current > self.times:
raise HTTPException(429, "Too many requests")
await redis.expire(client_ip, self.seconds)

复制代码

四、测试与调试

4.1 单位测试示例

权限验证测试用例：

from fastapi.testclient import TestClient
def test_admin_access():
client = TestClient(app)
# 普通用户令牌
token = create_test_token(user_type="user")
response = client.delete(
"/products/123",
headers={"Authorization": f"Bearer {token}"}
)
assert response.status_code == 403
# 管理员令牌
admin_token = create_test_token(user_type="admin")
response = client.delete(
"/products/123",
headers={"Authorization": f"Bearer {admin_token}"}
)
assert response.status_code == 200

复制代码

4.2 常见错误处理

错误 1：401 Unauthorized

{
"detail": "Could not validate credentials"
}

复制代码

解决方法：

检查哀求头 Authorization 格式是否精确
确认令牌未逾期
验证密钥是否匹配

错误 2：403 Forbidden

{
"detail": "Permission denied"
}

复制代码

预防发起：

在路由处理器前添加权限检查中心件
定期检察脚色权限分配

课后测验

问题 1： 为什么要在暗码哈希中利用 salt？
答案： Salt 随机值能有效防止彩虹表攻击，即使相同暗码也会生成差别的哈希值
问题 2： 怎样实现动态权限管理？
答案： 应该创建权限管理体系接口，允许管理员动态配置脚色与权限的对应关系
问题 3： JWT 令牌为什么要设置逾期时间？
答案： 缩短令牌有效期可以低沉令牌泄露风险，发起结合 refresh token 利用
版本兼容说明

全部代码在以下环境验证通过：

Python 3.8+
FastAPI 0.95+
SQLAlchemy 1.4+
Redis 6.2+

余下文章内容请点击跳转至个人博客页面大概大概微信搜一搜：编程智域前端至全栈交流与成长
，阅读完备的文章：怎样用 FastAPI 和 RBAC 打造坚如盘石的电商堡垒？
往期文章归档：

怎样用 FastAPI 和 RBAC 打造坚如盘石的安全堡垒？

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

浏览过的版块

商道如狼道