Flask API安全Token校验 替代逐接口装饰器的实现方案

你当前使用的自定义装饰器方案是Flask生态里非常通用的鉴权实现思路，除了逐接口加固定装饰器的写法，还有几个更易维护、适配更多场景的实现方式：

1. 全局请求钩子统一校验 #

适合绝大多数接口都需要做Token校验的场景，不需要给每个视图函数重复加装饰器，所有校验逻辑集中维护，不会出现漏加装饰器导致接口裸奔的问题。
核心是用Flask自带的before_request钩子，在请求正式进入视图函数前统一做校验，同时可以配置白名单放行不需要鉴权的接口（比如健康检查、登录接口）：

from flask import request, jsonify, g

# 不需要校验Token的路径白名单
AUTH_WHITELIST = {"/api/health", "/api/public/notice"}

@app.before_request
def check_token():
    # 白名单路径直接放行
    if request.path in AUTH_WHITELIST:
        return
    token = request.headers.get("x-access-token", "").strip()
    if not token:
        return jsonify({"message": "token is missing"}), 401
    if token != app.config["SECRET_KEY"]:
        return jsonify({"message": "wrong key"}), 401
    # 校验通过后可以把Token信息存在g对象中，后续视图直接调用
    g.access_token = token

如果需要更灵活的匹配规则，还可以在钩子中判断请求所属蓝图、请求方法、路由参数等，定制校验逻辑。

2. 可传参自定义装饰器 #

如果只有部分接口需要鉴权，或者不同接口的鉴权规则有差异，可以把现有固定逻辑的装饰器改成支持传参的形式，灵活控制每个接口的鉴权要求：

from functools import wraps
from flask import request, jsonify

def token_required(need_validate=True):
    def wrapper(f):
        @wraps(f)
        def decorated(*args, **kwargs):
            # 标记为不需要校验的接口直接放行
            if not need_validate:
                return f(*args, **kwargs)
            token = request.headers.get("x-access-token", "").strip()
            if not token:
                return jsonify({"message": "token is missing"}), 401
            if token != app.config["SECRET_KEY"]:
                return jsonify({"message": "wrong key"}), 401
            return f(*args, **kwargs)
        return decorated
    return wrapper

# 接口使用示例
@app.route("/api/public")
@token_required(need_validate=False)
def public_interface():
    return jsonify({"msg": "no auth required"})

@app.route("/api/private")
@token_required() # 默认开启校验
def private_interface():
    return jsonify({"msg": "access success"})

3. 借助成熟鉴权扩展简化实现 #

如果后续需要扩展更复杂的鉴权逻辑（比如Token有效期、多权限分级、Token自动刷新），可以直接用Flask生态成熟的鉴权扩展，不用重复造轮子，常见选择有Flask-HTTPAuth、Flask-JWT-Extended。
以Flask-HTTPAuth为例，只需要编写校验逻辑和错误返回逻辑，装饰器用法和你现有写法完全兼容：

from flask import request, jsonify
from flask_httpauth import HTTPTokenAuth

# 初始化鉴权实例，可自定义Token识别规则
auth = HTTPTokenAuth(scheme="Token")

# 编写Token校验逻辑
@auth.verify_token
def verify_token(token):
    if not token:
        return False
    return token == app.config["SECRET_KEY"]

# 统一处理鉴权失败的返回
@auth.error_handler
def handle_auth_error(code):
    token = request.headers.get("Authorization", "").replace("Token ", "").strip()
    if not token:
        return jsonify({"message": "token is missing"}), 401
    return jsonify({"message": "wrong key"}), 401

# 接口使用方式
@app.route("/api/protected")
@auth.login_required
def protected_interface():
    return jsonify({"msg": "access success"})

优化提示：你当前的代码中使用了裸except捕获所有异常，会把配置读取错误、请求解析错误等和鉴权无关的异常都返回为「Token无效」，掩盖真实代码问题，建议删除裸异常捕获，仅处理鉴权流程中的预期错误。

内容的提问来源于stack exchange，提问作者yasa