我正在开发一个简单的基于Flask编写的Web应用程序,以深入了解浏览器认证。作为第一步,我添加了基本身份验证,仅使用以下方式停止匿名访问:
from functools import wraps
from flask import request, Response
def check_auth(username, password):
"""This function is called to check if a username /
password combination is valid.
"""
return username == 'admin' and password == 'secret'
def authenticate():
"""Sends a 401 response that enables basic auth"""
return Response(
'Could not verify your access level for that URL.\n'
'You have to login with proper credentials', 401,
{'WWW-Authenticate': 'Basic realm="Login Required"'})
def requires_auth(f):
@wraps(f)
def decorated(*args, **kwargs):
auth = request.authorization
if not auth or not check_auth(auth.username, auth.password):
return authenticate()
return f(*args, **kwargs)
return decorated
来源: http://flask.pocoo.org/snippets/8/
从安全性角度来看,这很好。但问题在于它会提示我输入用户名和密码。一旦我提供了用户名和密码,授权就是持久的。所以我的问题是:
1) 授权为什么是持久的? 基本授权是否在整个浏览器会话期间存储在请求头中?我可以看到当我打开一个无痕窗口时,我需要再次输入一次。
2) 为了使其更加用户友好,我能否使用纯JavaScript创建一个登录页面来设置持久的基本授权,而不是使用浏览器弹出窗口进行操作?