FastAPI中如何结合表单数据使用HTTP Basic Auth？

核心问题分析 #

你的代码存在两个关键问题，导致表单接口的Basic Auth认证不生效：

1. 依赖参数类型不匹配
   你的check_credentials函数返回None，但在commit_configuration接口中，却将参数credentials的类型标注为HTTPBasicCredentials。FastAPI会因为类型不匹配无法正确解析依赖，导致认证逻辑根本没有被执行，所以无论是否携带凭证，接口都会直接运行。

2. Swagger UI表单请求的认证行为差异
   当接口使用表单数据（Form()）时，Swagger UI默认不会自动将你在锁图标中输入的Basic Auth凭证添加到请求头中；而路径参数的接口因为是GET请求，Swagger UI会自动带上认证头，所以能正常工作。

修复步骤 #

步骤1：修正依赖参数的类型或移除不必要的参数接收 #

由于check_credentials只负责验证并在失败时抛出异常，不需要返回任何值，你可以直接移除参数的变量名，或者将类型改为None，让FastAPI正确执行依赖：

@app.post('/commit')
def commit_configuration(
    device: str = Form(),
    insecure: bool = Form(),
    _: None = Depends(check_credentials)  # 用下划线接收无意义的返回值
):
    # 接口逻辑

或者更简洁的写法（不需要接收返回值）：

@app.post('/commit')
def commit_configuration(
    device: str = Form(),
    insecure: bool = Form(),
    Depends(check_credentials)
):
    # 接口逻辑

步骤2：确保Swagger UI请求携带认证头 #

在Swagger UI中点击右上角的锁图标，输入正确的用户名和密码后，重新提交请求。此时Swagger UI会将认证头添加到表单POST请求中，你的认证逻辑就能正常触发。

额外验证：测试非Swagger的请求 #

如果用curl或Postman测试，需要手动添加Authorization: Basic <base64编码的用户名:密码>头，否则会收到401错误，这说明认证逻辑已生效。

示例curl命令：

curl -X POST "http://localhost:8000/commit" -H "Authorization: Basic dXNlcjpwYXNzd29yZA==" -F "device=test" -F "insecure=false"

完整修正后的代码示例 #

from fastapi import FastAPI, Depends, Form, HTTPException, status
from fastapi.security import HTTPBasic, HTTPBasicCredentials
import secrets
import config_params  # 确保已正确导入配置

app = FastAPI()
security = HTTPBasic()

def check_credentials(credentials: HTTPBasicCredentials = Depends(security)) -> None:
    """Validate user credentials

    Args:
        HTTP Basic Auth credentials

    Raises:
        HTTPException: 401 Unauthorized
    """
    username = bytes(config_params['API_USER'], encoding='utf8')
    password = bytes(config_params['API_PASS'], encoding='utf8')
    input_uname = credentials.username.encode('utf8')
    input_pass = credentials.password.encode('utf8')
    valid_uname = secrets.compare_digest(input_uname, username)
    valid_pass = secrets.compare_digest(input_pass, password)
    if not valid_uname:
        raise HTTPException(
            status_code=status.HTTP_401_UNAUTHORIZED,
            detail="Incorrect username",
            headers={"WWW-Authenticate": "Basic"},
        )
    if not valid_pass:
        raise HTTPException(
            status_code=status.HTTP_401_UNAUTHORIZED,
            detail="Incorrect password",
            headers={"WWW-Authenticate": "Basic"},
        )

@app.post('/commit')
def commit_configuration(
    device: str = Form(),
    insecure: bool = Form(),
    _: None = Depends(check_credentials)
):
    # 你的接口业务逻辑
    return {"message": "Configuration committed", "device": device, "insecure": insecure}

内容的提问来源于stack exchange，提问作者ntwrkguru