FastApi中用户Token处理及请求放置位置技术咨询

一、密钥存放位置的选择分析 #

1. 放在Authorization头（推荐用Bearer格式而非Basic） #

• 符合HTTP身份认证的标准规范，大部分客户端、网关和框架都默认支持，兼容性拉满
• 传输安全性有保障（配合HTTPS），不会像请求体那样容易被日志意外记录
• 注意：如果是JWT，用Authorization: Bearer <你的token>是行业通用做法，Basic格式一般用来传用户名密码的Base64编码，不太适合会话密钥场景

2. 放在自定义user-session头 #

• 优势：命名直观，和业务场景强绑定，不会和其他用Authorization头的认证逻辑冲突
• 劣势：需要客户端额外适配自定义头，不像标准头那样开箱即用

3. 放在请求体中 #

• 仅适合POST/PUT这类带请求体的接口，GET请求没法用（不符合HTTP规范）
• 不符合RESTful身份认证的惯例，而且请求体内容容易被服务器日志记录，安全性稍差，不推荐用于常规接口的身份校验

总结推荐：如果是通用身份认证，优先选Authorization头（Bearer格式）；如果是业务专属的会话密钥，自定义头也可行；请求体只适合登录接口这类本身就需要传凭证的特殊场景。

二、自定义user-session头的两种实现方式 #

方式一：用APIKey依赖整合获取与验证 #

把获取自定义头和验证逻辑打包在一个依赖里，代码更紧凑：

from fastapi import FastAPI, Depends, APIKeyHeader, HTTPException
import httpx  # 用来调用独立验证API

app = FastAPI()

# 定义验证依赖
async def validate_user_session(user_session: str = APIKeyHeader(name="user-session")):
    # 调用独立API验证Token
    async with httpx.AsyncClient() as client:
        response = await client.post("https://你的验证API地址", json={"token": user_session})
        if response.status_code != 200 or not response.json().get("valid"):
            raise HTTPException(status_code=401, detail="无效的会话密钥")
    return user_session

# 路由中使用依赖
@app.post("/create")
async def create(validated_session: str = Depends(validate_user_session)):
    # 这里已经确保会话密钥有效，直接处理业务逻辑
    return {"msg": "请求处理成功", "session_key": validated_session}

方式二：单独声明Header参数+独立验证依赖 #

这种方式更灵活，适合需要单独获取头参数再做额外处理的场景：

from fastapi import FastAPI, Depends, Header, HTTPException
import httpx

app = FastAPI()

# 单独定义验证逻辑
async def validate_session(token: str):
    async with httpx.AsyncClient() as client:
        response = await client.post("https://你的验证API地址", json={"token": token})
        if response.status_code != 200 or not response.json().get("valid"):
            raise HTTPException(status_code=401, detail="无效的会话密钥")
    return token

# 路由中先获取Header参数，再传入验证依赖
@app.post("/create")
async def create(user_session: str = Header(description="用户会话密钥"), _=Depends(lambda: validate_session(user_session))):
    return {"msg": "请求处理成功", "session_key": user_session}

# 或者更简洁的写法：把Header参数直接整合进依赖
async def validate_session(user_session: str = Header(description="用户会话密钥")):
    # 同上验证逻辑
    async with httpx.AsyncClient() as client:
        response = await client.post("https://你的验证API地址", json={"token": user_session})
        if response.status_code != 200 or not response.json().get("valid"):
            raise HTTPException(status_code=401, detail="无效的会话密钥")
    return user_session

@app.post("/create")
async def create(validated_session: str = Depends(validate_session)):
    return {"msg": "请求处理成功", "session_key": validated_session}

内容的提问来源于stack exchange，提问作者WhatTheWhat