Flask中HTTPBasicAuth身份验证时机与执行逻辑问题咨询

flask-httpauth实现的HTTP Basic Auth完全基于HTTP标准协议的Authorization请求头工作，不会读取POST表单里的email、password字段。你现在自定义的HTML表单提交时，凭证是放在请求body里的，不会自动填充到Authorization头中，所以HTTPBasicAuth的校验逻辑根本拿不到凭证，自然不会触发@auth.verify_password装饰的校验函数。
你能进入login()函数大概率是两种情况：要么浏览器之前缓存过该站点的Basic Auth有效凭证，自动在请求头里加了Authorization字段，之前已经完成过校验；要么你之前测试时关闭过装饰器，缓存的代码还在运行。 #

问题逐一解答 #

1. @auth.login_required的执行时机和放行规则 #

这个装饰器会在视图函数执行前完成所有校验逻辑，流程固定：

• 第一步：从当前请求的头信息中提取Authorization字段，判断是否为Basic类型的凭证
• 第二步：如果拿到合法的Basic凭证，解码得到用户名、密码字符串，传给你用@auth.verify_password装饰的校验函数
• 第三步：如果校验函数返回True，就把当前用户名存入当前请求的上下文，放行执行视图函数；如果拿不到凭证、凭证格式错误或者校验失败，直接返回401响应，不会进入你写的视图函数
  你没触发verify_password，就是因为第一步没拿到符合要求的Authorization头，流程直接走到返回401的分支了。

2. 认证信息的存储逻辑 #

HTTP Basic Auth是无状态认证，服务端不会持久化存储任何用户的认证信息，每次请求都会重新校验：

• 只有校验通过后的当前请求生命周期内，用户信息会存在请求上下文里，你可以用auth.current_user()读取
• 请求处理完成后，上下文销毁，用户信息就被清理了，下次请求还要重新从Authorization头拿凭证校验
• 客户端（浏览器）会缓存Basic Auth的凭证，同域名下的后续请求会自动带上Authorization头，不用用户重复输入

3. 认证逻辑的注册环节 #

你用@auth.verify_password装饰verify_password函数的时候，就已经完成了校验逻辑的注册，不需要额外操作。HTTPBasicAuth实例会自动把这个函数作为凭证校验的唯一入口，只要拿到符合格式的凭证就会调用它。 #

自定义表单搭配HTTPBasicAuth的实现方案 #

如果一定要用自定义HTML表单而不是浏览器原生的Basic Auth弹窗，可以通过前端JS手动构造Authorization头来适配，修改你的表单代码如下：

<html>
<body>
<div>
    <form id="loginForm" action="{{ url_for('login') }}" method="POST">
          <div class="row">
            <div>
              <input id="email" name="email" type="email" class="validate">
              <label for="email">Email</label>
            </div>
          </div>

          <div class="row">
            <div>
              <input id="password" type="password" name="password" class="validate">
              <label for="password">Password</label>
            </div>
          </div>

          <button type="submit" id="login" >Login</button>
        <br>
    </form>
</div>
<script>
document.getElementById('loginForm').addEventListener('submit', function(e) {
  e.preventDefault();
  const email = document.getElementById('email').value;
  const password = document.getElementById('password').value;
  // 构造Basic Auth凭证
  const credentials = btoa(email + ':' + password);
  fetch(this.action, {
    method: this.method,
    headers: {
      'Authorization': 'Basic ' + credentials
    }
  }).then(res => {
    if (res.ok) {
      window.location.href = res.url;
    } else {
      alert('邮箱或密码错误');
    }
  });
})
</script>
</body>
</html>

同时你可以简化后端的login函数，不用再手动校验密码，装饰器已经帮你完成了：

@app.route('/', methods=['GET','POST'])
@auth.login_required
def login():
    # 能进到这个函数就说明已经校验通过了
    if request.method == 'GET':
        return render_template('index.html')
    # POST请求校验通过也跳首页
    return render_template('index.html')

注意：HTTP Basic Auth的凭证会被浏览器长期缓存，没有标准的注销机制，如果你需要支持用户主动注销，或者对登录体验有更高要求，更推荐使用Flask-Login实现基于Session的表单认证，更符合常规Web应用的使用场景。

内容的提问来源于stack exchange，提问作者Nav