Flask API中集中验证客户端哈希的优雅实现方案咨询

如果你想避免在每个路由里重复写哈希验证的判断逻辑，Flask的装饰器或者全局前置请求钩子是最优雅的解决方案，既能把验证逻辑集中管理，又不用修改每个路由的核心代码。

方案一：自定义验证装饰器（推荐，灵活可控） #

装饰器可以给需要验证的路由“套一层”前置逻辑，验证通过才会执行原路由函数，不通过直接返回错误。

第一步：编写哈希验证装饰器 #

from functools import wraps
from flask import request, jsonify
import hashlib
import os

def validate_client_hash(f):
    @wraps(f)
    def decorated(*args, **kwargs):
        # 从环境变量加载共享密钥，避免硬编码
        shared_secret = os.getenv("API_SHARED_SECRET", "default_secure_secret")
        
        # 从请求体中获取客户端发送的哈希和对应数据
        client_hash = request.json.get("hash")
        request_data = request.json.get("data")
        
        if not client_hash or not request_data:
            return jsonify({"error": "Missing hash or data"}), 400
        
        # 计算正确的哈希（这里用HMAC-SHA256，比MD5安全得多）
        correct_hash = hashlib.sha256(
            (shared_secret + str(request_data)).encode("utf-8")
        ).hexdigest()
        
        # 对比哈希，不匹配直接返回错误
        if client_hash != correct_hash:
            return jsonify({"error": "Invalid authentication hash"}), 403
        
        # 验证通过，执行原路由函数
        return f(*args, **kwargs)
    return decorated

第二步：给路由添加装饰器 #

只需要在需要验证的路由上方加上这个装饰器即可，核心业务代码完全不用改：

@app.route('/newRegistration', methods=['POST'])
@validate_client_hash
def new_registration():
    controller = Controller()
    return jsonify(controller.new_configuration(request.json))

# 其他需要验证的路由同理
@app.route('/updateUser', methods=['POST'])
@validate_client_hash
def update_user():
    controller = Controller()
    return jsonify(controller.update_user(request.json))

方案二：全局前置请求钩子（适合全路由验证） #

如果你的API所有POST路由都需要哈希验证，只有少数例外（比如健康检查），可以用before_request钩子，一次性给所有路由加上验证逻辑：

from flask import request, jsonify
import hashlib
import os

@app.before_request
def global_hash_validation():
    # 排除不需要验证的路由（比如健康检查、公开接口）
    excluded_paths = ['/health', '/public-info']
    if request.path in excluded_paths:
        return
    
    # 只对POST请求做验证（如果需要其他方法可以调整）
    if request.method != 'POST':
        return
    
    # 下面的验证逻辑和装饰器里的一致
    shared_secret = os.getenv("API_SHARED_SECRET", "default_secure_secret")
    client_hash = request.json.get("hash")
    request_data = request.json.get("data")
    
    if not client_hash or not request_data:
        return jsonify({"error": "Missing hash or data"}), 400
    
    correct_hash = hashlib.sha256(
        (shared_secret + str(request_data)).encode("utf-8")
    ).hexdigest()
    
    if client_hash != correct_hash:
        return jsonify({"error": "Invalid authentication hash"}), 403

这样所有非排除的POST路由都会自动做哈希验证，完全不用修改路由代码，非常省心。

注意事项 #

• 哈希算法要安全：示例里用的HMAC-SHA256是比较推荐的，绝对不要用MD5、SHA1这种已经被破解的算法。
• 密钥不要硬编码：用环境变量加载共享密钥，避免代码泄露导致密钥暴露。
• 灵活调整验证范围：装饰器适合给部分路由加验证，全局钩子适合全路由验证，根据你的业务场景选就行。

内容的提问来源于stack exchange，提问作者Andre Garcia