Flask中该自定义登录实现方案的安全性是否足够？

结论：这种方法并不安全，存在多个明显漏洞，无法有效阻止普通用户访问管理员页面

核心问题拆解 #

• hash()函数完全不适合密码存储：Python的hash()是用于哈希表快速查找的普通哈希算法，并非密码学安全算法。它输出长度短、碰撞概率高，且未加盐，攻击者可通过彩虹表轻松破解存储的密码哈希。另外，虽然重启进程后hash()结果可能变化，但同一进程内多次调用hash("admin")结果完全一致——这意味着服务器不重启时，管理员页面的URL不会改变，一旦泄露就会长期可用。
• URL路由无权限校验：你靠“难以猜测的URL”限制访问，但这种方式非常脆弱。服务器日志会完整记录所有请求URL，若日志未妥善管控，攻击者可从中获取管理员页面地址；管理员在公共WiFi环境下访问时，URL也可能被网络嗅探捕获。只要有人知道该URL，无论是否登录都能直接访问，登录流程只是帮合法用户找到URL，根本没起到权限拦截作用。
• 登录逻辑无会话管理：登录成功后仅重定向到对应页面，未在服务器端记录用户身份状态。这意味着哪怕是普通用户，只要偶然拿到管理员页面的URL，就能直接进入，完全绕过登录环节。

针对低敏感场景的低成本改进方案 #

如果你的场景确实不涉及高度敏感数据，想用简单方式提升安全性，可做以下调整：

1. 替换密码哈希方式：使用bcrypt或passlib这类专门的密码哈希库，给每个密码添加随机盐后存储，示例代码：

   from passlib.context import CryptContext
   
   pwd_context = CryptContext(schemes=["bcrypt"], deprecated="auto")
   
   # 存储密码时
   USERS = {
       "user1": [pwd_context.hash("pw1"), "admin"],
       "user2": [pwd_context.hash("pw2"), "user"]
   }
   
   # 登录校验时
   if pwd_context.verify(request.form["password"], USERS[login][0]):
       # 校验通过逻辑
   

2. 添加会话级权限校验：登录成功后在Flask会话中存储用户角色，再在受保护路由里校验角色：

   from flask import session, abort
   
   @app.route("/", methods=["GET", "POST"])
   def page_login():
       if request.method == "POST":
           login = request.form["login"]
           password = request.form["password"]
           if login in USERS and pwd_context.verify(password, USERS[login][0]):
               session['role'] = USERS[login][1]
               return redirect(url_for(f"page_{USERS[login][1]}"))
       return render_template("page_login.html")
   
   @app.route("/lab/admin")
   def page_admin():
       if session.get('role') != 'admin':
           abort(403)  # 返回禁止访问
       return "admin"
   
   @app.route("/lab/user")
   def page_user():
       if session.get('role') != 'user':
           abort(403)
       return "user"
   

3. 设置Flask的SECRET_KEY：会话依赖SECRET_KEY生成签名，防止会话被篡改，在Flask配置中添加：

   import secrets
   app.secret_key = secrets.token_hex(16)  # 生成随机安全字符串
   

总结 #

当前方案的权限控制完全依赖“保密URL”，在实际场景中极不可靠。哪怕是低敏感场景，也建议用会话校验的方式管控权限，成本不高但安全性能大幅提升。

内容的提问来源于stack exchange，提问作者LOR3MI