Python Plotly Dash如何为不同用户展示对应专属数据？

你现有代码的问题是v_user硬编码，且数据查询在服务启动时执行一次，所有访问用户都会看到同一份数据。要实现用户级数据隔离，核心是先完成用户身份校验，再根据登录用户ID动态执行参数化SQL查询，具体实现如下：

核心实现方案 #

步骤1：接入用户认证模块 #

使用Dash官方提供的dash-auth组件实现基础登录校验，也可根据业务需求集成企业SSO、OAuth2等认证体系，获取登录用户的唯一ID。

步骤2：将数据查询逻辑移入回调 #

页面初始化时不查询数据，用户登录后通过回调触发对应的数据查询，动态生成图表。

步骤3：使用参数化SQL避免注入风险 #

不要直接用f字符串拼接SQL语句，改用psycopg2支持的参数化查询，防止SQL注入漏洞。

示例代码：

import psycopg2
import pandas as pd
import plotly.express as px
import dash
from dash import dcc, html, Input, Output
import dash_auth

# 配置合法用户列表，实际使用可从数据库用户表读取
VALID_USER_PASS = {
    'user111': 'pass111', # 对应用户ID 111
    'user222': 'pass222'  # 对应用户ID 222
}
# 建立用户名和用户ID的映射
USER_ID_MAP = {
    'user111': 111,
    'user222': 222
}

app = dash.Dash()
# 开启基础认证
auth = dash_auth.BasicAuth(app, VALID_USER_PASS)

app.layout = html.Div([
    html.H1('Sales by Users'),
    dcc.Graph(id='sales-bar')
])

# 回调动态生成图表
@app.callback(
    Output('sales-bar', 'figure'),
    Input('sales-bar', 'id') # 页面加载时自动触发
)
def update_graph(_):
    # 获取当前登录用户对应的ID
    current_user = auth.get_current_username()
    v_user = USER_ID_MAP[current_user]
    
    # 建立数据库连接，高并发场景可改用连接池优化性能
    conn = psycopg2.connect(host="xxxx", port=5432, database="xxxxx", user="xxxxx", password="xxxxx")
    # 参数化SQL查询，避免注入
    statement = "select month, count(id) as sales from public.orders where user_profile_id=%s group by 1"
    df_orders = pd.read_sql_query(statement, con=conn, params=(v_user,))
    conn.close()
    
    return px.bar(df_orders, x="month", y="sales")

if __name__ == '__main__':
    app.run_server(debug=True, use_reloader=False)

不同用户登录后仅显示自身对应数据，效果如下：

其他可行方案 #

• PostgreSQL行级安全（RLS）：在数据库层面为orders表开启行级安全策略，配置用户只能查看自身user_profile_id匹配的数据，即使程序层面出现逻辑漏洞，数据库也会自动拦截越权数据查询，安全性最高，适合对数据安全要求高的场景。
• 预缓存用户数据：若数据更新频率低，可提前按用户ID预计算指标结果存入缓存或专属结果表，用户登录后直接读取对应缓存数据，无需每次查询原表，大幅提升并发访问性能。
• 网关透传用户ID：如果业务侧已有统一身份认证网关（如Nginx、API网关），可由网关完成身份校验后将合法用户ID通过请求头透传给Dash服务，Dash从请求上下文中直接读取用户ID，无需重复实现认证逻辑，适合企业内部系统集成场景。

关键注意事项 #

• 所有用户身份校验、数据过滤逻辑必须在服务端执行，禁止将用户ID存储在前端本地存储、URL参数等可篡改的位置。
• 绝对禁止直接拼接用户输入到SQL语句中，必须使用参数化查询，避免SQL注入风险。

内容的提问来源于stack exchange，提问作者Galat