如何搭建可收发请求的Web服务器？及安全验证服务器搭建咨询

嘿，针对你的两个问题——用2011款树莓派搭建可处理请求的Web服务器，以及解决管理员页面的前端隐藏数据漏洞，我给你整理了一套适合新手的实操方案（考虑到老款树莓派性能有限，咱们全程用轻量工具）：

2011款的树莓派资源不算充裕，咱们先搭一个精简的运行环境：

• 用Raspberry Pi Imager刷Raspberry Pi OS Lite版（无桌面，省内存和CPU），刷的时候提前开启SSH、设置Wi-Fi和用户密码，方便后续远程操作。
• 开机后先更新系统：

  sudo apt update && sudo apt upgrade -y
  

Flask是轻量型的Python Web框架，完全能跑在老款树莓派上，而且代码简单易理解。

1. 安装依赖 #

sudo apt install python3 python3-pip -y
pip3 install flask

2. 编写核心服务器代码 #

在树莓派的/home/pi目录下创建一个app.py文件，内容如下（我加了详细注释，你可以直接改参数）：

from flask import Flask, request, jsonify, render_template_string

# 初始化Flask应用
app = Flask(__name__)

# 模拟管理员账号（实际生产别硬编码！后面会说优化方法）
ADMIN_ACCOUNT = {
    "username": "your_admin_name",
    # 这里可以换成bcrypt加密后的密码，后面会提
    "password": "your_secure_password"
}

# 管理员登录接口：只有验证通过才返回敏感数据
@app.route('/admin/login', methods=['POST'])
def admin_login():
    # 获取前端传来的用户名密码
    login_data = request.get_json()
    input_username = login_data.get('username')
    input_password = login_data.get('password')

    # 验证账号
    if input_username == ADMIN_ACCOUNT['username'] and input_password == ADMIN_ACCOUNT['password']:
        # 验证通过，返回管理员专属数据（这些数据只会在登录成功后才传到前端）
        return jsonify({
            "success": True,
            "admin_data": {
                "system_status": "树莓派运行正常",
                "total_visits": 42,
                "pending_tasks": 3
            }
        })
    else:
        # 验证失败，返回错误信息
        return jsonify({"success": False, "message": "用户名或密码错误"}), 401

# 可选：一个简单的测试页面，用来演示登录流程
@app.route('/')
def test_page():
    return render_template_string('''
        <html>
            <body>
                <h3>管理员登录测试</h3>
                <input type="text" id="username" placeholder="输入用户名">
                <input type="password" id="password" placeholder="输入密码">
                <button onclick="submitLogin()">登录</button>
                <div id="output"></div>
                <script>
                    function submitLogin() {
                        const username = document.getElementById('username').value;
                        const password = document.getElementById('password').value;
                        // 向后端发送登录请求
                        fetch('/admin/login', {
                            method: 'POST',
                            headers: {'Content-Type': 'application/json'},
                            body: JSON.stringify({username, password})
                        })
                        .then(res => res.json())
                        .then(data => {
                            if (data.success) {
                                document.getElementById('output').innerHTML = `<h4>登录成功！管理员数据：</h4><pre>${JSON.stringify(data.admin_data, null, 2)}</pre>`;
                            } else {
                                document.getElementById('output').innerHTML = `<p style="color:red">${data.message}</p>`;
                            }
                        });
                    }
                </script>
            </body>
        </html>
    ''')

if __name__ == '__main__':
    # 允许外部设备访问，端口用5000（老派性能足够），生产环境要关闭debug
    app.run(host='0.0.0.0', port=5000, debug=False)

3. 启动服务器并测试 #

运行命令：

python3 app.py

然后在同一局域网的电脑上，访问http://你的树莓派IP:5000，就能看到测试页面。只有输入正确的管理员账号，才能看到敏感数据——前端永远不会提前加载这些数据，审查元素也看不到，从根源解决了安全隐患。

1. 不要硬编码密码：用哈希存储 #

安装bcrypt库加密密码：

pip3 install bcrypt

修改代码里的验证逻辑，先把密码哈希后存在代码（或数据库）里：

import bcrypt

# 生成哈希密码（运行一次就行，把结果存在ADMIN_ACCOUNT里）
# hashed_pw = bcrypt.hashpw("your_secure_password".encode('utf-8'), bcrypt.gensalt())

ADMIN_ACCOUNT = {
    "username": "your_admin_name",
    "password": b'$2b$12$xxxxxxxxx...'  # 替换成生成的哈希值
}

# 登录验证时换成哈希对比
if input_username == ADMIN_ACCOUNT['username'] and bcrypt.checkpw(input_password.encode('utf-8'), ADMIN_ACCOUNT['password']):
    # 验证通过逻辑

2. 设置开机自启 #

用systemd让服务器开机自动运行，避免每次重启树莓派都要手动启动：

• 创建服务文件：

  sudo nano /etc/systemd/system/flask-admin.service
  

• 写入以下内容：

  [Unit]
  Description=Flask Admin Server
  After=network.target
  
  [Service]
  User=pi
  WorkingDirectory=/home/pi
  ExecStart=/usr/bin/python3 /home/pi/app.py
  Restart=always
  
  [Install]
  WantedBy=multi-user.target
  

• 启用并启动服务：

  sudo systemctl enable flask-admin.service
  sudo systemctl start flask-admin.service
  

你之前的问题核心是前端隐藏数据不安全，现在的方案完全规避了这个问题：

• 敏感数据只存在后端，只有登录验证通过后才会发送给前端；
• 前端从始至终不会加载未授权的数据，哪怕用审查元素也看不到任何敏感内容；
• 后续如果要扩展管理员页面，只需要让前端在登录成功后，用拿到的数据渲染页面即可。

内容的提问来源于stack exchange，提问作者Benjamin Sommer