Flask使用Flask-HTTPAuth保护静态文件夹时子路径认证不生效问题

问题根因 #

你仅为根路径/的路由添加了认证装饰器，Flask默认会优先处理静态文件匹配请求，不会触发自定义的根路由逻辑，因此直接访问子路径静态资源时会直接绕过认证。

快速临时解决方法 #

直接添加全局请求钩子，所有请求进入时都强制校验认证，无需修改现有路由逻辑：

@app.before_request
@auth.login_required
def check_auth():
    # 若有无需认证的公开路径，可在此处添加判断跳过校验
    # 示例：if request.path == '/favicon.ico': return
    pass

该方案改动最小，可直接生效，适合临时快速修复。

正确实现方案 #

更规范的做法是禁用Flask默认的静态文件处理逻辑，自行实现全路径的静态资源路由，同时做好路径安全校验，避免目录遍历漏洞：

from flask import Flask, send_from_directory, abort, request
from flask_httpauth import HTTPBasicAuth
import os

auth = HTTPBasicAuth()
STATIC_FOLDER = "html_files"

# 初始化时不使用默认静态文件配置
app = Flask(__name__)

# 你的密码校验逻辑
@auth.verify_password
def verify_pwd(username, password):
    # 替换为你实际的账号密码校验逻辑
    return username == "your_username" and password == "your_password"

# 通配符路由匹配所有路径，统一加认证
@app.route("/", defaults={"path": ""})
@app.route("/<path:path>")
@auth.login_required
def serve_files(path):
    # 根路径返回主页面
    if not path:
        return send_from_directory(STATIC_FOLDER, "main.html")
    # 安全校验：防止目录遍历攻击
    target_path = os.path.normpath(os.path.join(STATIC_FOLDER, path))
    if not target_path.startswith(os.path.normpath(STATIC_FOLDER)) or not os.path.isfile(target_path):
        abort(404)
    return send_from_directory(STATIC_FOLDER, path)

内容的提问来源于stack exchange，提问作者Netanel