如何在R-Plumber构建的API中实现Basic Authentication（基础身份验证）

核心实现思路 #

Plumber的**过滤器（Filter）**是实现身份验证的最优方案，它会在请求到达API端点前拦截并校验身份，只有验证通过才会继续处理请求。

步骤1：编写身份验证逻辑 #

先实现一个函数，负责解析请求中的Basic Auth凭证并验证合法性：

# 验证函数：检查Basic Auth凭证
validate_basic_auth <- function(req) {
  # 获取请求头中的Authorization字段
  auth_header <- req$HTTP_AUTHORIZATION
  
  # 无凭证时返回401错误，触发客户端登录弹窗
  if (is.null(auth_header)) {
    res <- plumber:::getEmptyResponse()
    res$status <- 401
    res$setHeader("WWW-Authenticate", 'Basic realm="Plumber API"')
    return(res)
  }
  
  # 解析Basic Auth格式："Basic base64编码的用户名:密码"
  auth_parts <- strsplit(auth_header, " ")[[1]]
  if (length(auth_parts) != 2 || auth_parts[1] != "Basic") {
    res <- plumber:::getEmptyResponse()
    res$status <- 401
    res$setHeader("WWW-Authenticate", 'Basic realm="Plumber API"')
    return(res)
  }
  
  # 解码Base64字符串
  decoded_auth <- rawToChar(base64enc::base64decode(auth_parts[2]))
  credentials <- strsplit(decoded_auth, ":")[[1]]
  
  # 替换为你的实际验证逻辑（比如从数据库/环境变量读取）
  valid_username <- Sys.getenv("API_USER")
  valid_password <- Sys.getenv("API_PASS")
  
  if (length(credentials) != 2 || credentials[1] != valid_username || credentials[2] != valid_password) {
    res <- plumber:::getEmptyResponse()
    res$status <- 401
    res$setHeader("WWW-Authenticate", 'Basic realm="Plumber API"')
    return(res)
  }
  
  # 验证通过，放行请求
  return(NULL)
}

步骤2：注册过滤器应用验证 #

你可以选择全局生效或仅指定端点生效：

全局验证（所有API端点都需要验证） #

在Plumber入口文件中注册全局过滤器：

library(plumber)
library(base64enc)

# 加载上述验证函数

# 创建Plumber对象
pr <- plumb("your_api_script.R")

# 注册全局身份验证过滤器
pr <- pr_filter("basic_auth", validate_basic_auth)

# 启动API
pr_run(pr, port = 8000)

局部验证（仅指定端点需要验证） #

在需要验证的端点上方添加#* @filter basic_auth标签：

#* @filter basic_auth
#* @get /secure-endpoint
function() {
  list(message = "这是需要身份验证才能访问的内容")
}

#* @get /public-endpoint
function() {
  list(message = "这是公开内容，无需验证")
}

步骤3：测试验证功能 #

用httr包测试API：

library(httr)

# 正确凭证测试
response <- GET("http://localhost:8000/secure-endpoint", authenticate("your_user", "your_pass"))
content(response) # 返回成功响应

# 错误凭证测试
response <- GET("http://localhost:8000/secure-endpoint", authenticate("wrong_user", "wrong_pass"))
content(response) # 返回401错误

关键注意事项 #

• 不要硬编码凭证：实际项目中从环境变量、配置文件或数据库读取验证信息，避免代码泄露敏感数据。
• 必须使用HTTPS：Basic Auth的Base64编码是可逆的，非HTTPS环境下会明文传输凭证，存在安全风险。
• 可扩展权限控制：基于验证通过的用户名，可进一步添加角色权限校验逻辑。

内容的提问来源于stack exchange，提问作者Abhishek Agnihotri