Seguridad - Primeros pasos¶

Imaginemos que tienes tu API debackend en algún dominio.

Y tienes unfrontend en otro dominio o en un path diferente del mismo dominio (o en una aplicación móvil).

Y quieres tener una forma para que el frontend se autentique con el backend, usando unusername ypassword.

Podemos usarOAuth2 para construir eso conFastAPI.

Pero vamos a ahorrarte el tiempo de leer la larga especificación completa solo para encontrar esos pequeños fragmentos de información que necesitas.

Usemos las herramientas proporcionadas porFastAPI para manejar la seguridad.

Cómo se ve¶

Primero solo usemos el código y veamos cómo funciona, y luego volveremos para entender qué está sucediendo.

Creamain.py¶

Copia el ejemplo en un archivomain.py:

fromtypingimportAnnotatedfromfastapiimportDepends,FastAPIfromfastapi.securityimportOAuth2PasswordBearerapp=FastAPI()oauth2_scheme=OAuth2PasswordBearer(tokenUrl="token")@app.get("/items/")asyncdefread_items(token:Annotated[str,Depends(oauth2_scheme)]):return{"token":token}

fromfastapiimportDepends,FastAPIfromfastapi.securityimportOAuth2PasswordBearerapp=FastAPI()oauth2_scheme=OAuth2PasswordBearer(tokenUrl="token")@app.get("/items/")asyncdefread_items(token:str=Depends(oauth2_scheme)):return{"token":token}

Ejecútalo¶

$pipinstallpython-multipart

Ejecuta el ejemplo con:

$fastapidevmain.py<span style="color: green;">INFO</span>:     Uvicorn running on http://127.0.0.1:8000 (Press CTRL+C to quit)

Revisa¶

Ve a la documentación interactiva en:http://127.0.0.1:8000/docs.

Verás algo así:

Y si lo haces, tendrás un pequeño formulario de autorización para escribir unusername ypassword (y otros campos opcionales):

Esto por supuesto no es el frontend para los usuarios finales, pero es una gran herramienta automática para documentar interactivamente toda tu API.

Puede ser utilizada por el equipo de frontend (que también puedes ser tú mismo).

Puede ser utilizada por aplicaciones y sistemas de terceros.

Y también puede ser utilizada por ti mismo, para depurar, revisar y probar la misma aplicación.

El flujopassword¶

Ahora retrocedamos un poco y entendamos qué es todo eso.

El "flujo"password es una de las formas ("flujos") definidas en OAuth2, para manejar la seguridad y la autenticación.

OAuth2 fue diseñado para que el backend o la API pudieran ser independientes del servidor que autentica al usuario.

Pero en este caso, la misma aplicación deFastAPI manejará la API y la autenticación.

Así que, revisémoslo desde ese punto de vista simplificado:

• El usuario escribe elusername ypassword en el frontend, y presionaEnter.
• El frontend (ejecutándose en el navegador del usuario) envía eseusername ypassword a una URL específica en nuestra API (declarada contokenUrl="token").
• La API verifica eseusername ypassword, y responde con un "token" (no hemos implementado nada de esto aún).
  • Un "token" es solo un string con algún contenido que podemos usar luego para verificar a este usuario.
  • Normalmente, un token se establece para que expire después de algún tiempo.
    • Así que, el usuario tendrá que volver a iniciar sesión más adelante.
    • Y si el token es robado, el riesgo es menor. No es como una llave permanente que funcionará para siempre (en la mayoría de los casos).
• El frontend almacena temporalmente ese token en algún lugar.
• El usuario hace clic en el frontend para ir a otra sección de la aplicación web frontend.
• El frontend necesita obtener más datos de la API.
  • Pero necesita autenticación para ese endpoint específico.
  • Así que, para autenticarse con nuestra API, envía unheaderAuthorization con un valor deBearer más el token.
  • Si el token contienefoobar, el contenido delheaderAuthorization sería:Bearer foobar.

OAuth2PasswordBearer deFastAPI¶

FastAPI proporciona varias herramientas, en diferentes niveles de abstracción, para implementar estas funcionalidades de seguridad.

En este ejemplo vamos a usarOAuth2, con el flujoPassword, usando un tokenBearer. Hacemos eso utilizando la claseOAuth2PasswordBearer.

Cuando creamos una instance de la claseOAuth2PasswordBearer pasamos el parámetrotokenUrl. Este parámetro contiene la URL que el cliente (el frontend corriendo en el navegador del usuario) usará para enviar elusername ypassword a fin de obtener un token.

fromtypingimportAnnotatedfromfastapiimportDepends,FastAPIfromfastapi.securityimportOAuth2PasswordBearerapp=FastAPI()oauth2_scheme=OAuth2PasswordBearer(tokenUrl="token")@app.get("/items/")asyncdefread_items(token:Annotated[str,Depends(oauth2_scheme)]):return{"token":token}

fromfastapiimportDepends,FastAPIfromfastapi.securityimportOAuth2PasswordBearerapp=FastAPI()oauth2_scheme=OAuth2PasswordBearer(tokenUrl="token")@app.get("/items/")asyncdefread_items(token:str=Depends(oauth2_scheme)):return{"token":token}

Este parámetro no crea ese endpoint /path operation, pero declara que la URL/token será la que el cliente deberá usar para obtener el token. Esa información se usa en OpenAPI, y luego en los sistemas de documentación interactiva del API.

Pronto también crearemos la verdaderapath operation.

La variableoauth2_scheme es una instance deOAuth2PasswordBearer, pero también es un "callable".

Podría ser llamada como:

oauth2_scheme(some,parameters)

Así que, puede usarse conDepends.

Úsalo¶

Ahora puedes pasar eseoauth2_scheme en una dependencia conDepends.

fromtypingimportAnnotatedfromfastapiimportDepends,FastAPIfromfastapi.securityimportOAuth2PasswordBearerapp=FastAPI()oauth2_scheme=OAuth2PasswordBearer(tokenUrl="token")@app.get("/items/")asyncdefread_items(token:Annotated[str,Depends(oauth2_scheme)]):return{"token":token}

fromfastapiimportDepends,FastAPIfromfastapi.securityimportOAuth2PasswordBearerapp=FastAPI()oauth2_scheme=OAuth2PasswordBearer(tokenUrl="token")@app.get("/items/")asyncdefread_items(token:str=Depends(oauth2_scheme)):return{"token":token}

Esta dependencia proporcionará unstr que se asigna al parámetrotoken de lapath operation function.

FastAPI sabrá que puede usar esta dependencia para definir un "security scheme" en el esquema OpenAPI (y en los docs automáticos del API).

Lo que hace¶

Irá y buscará en el request ese headerAuthorization, verificará si el valor esBearer más algún token, y devolverá el token como unstr.

Si no ve un headerAuthorization, o el valor no tiene un tokenBearer, responderá directamente con un error de código de estado 401 (UNAUTHORIZED).

Ni siquiera tienes que verificar si el token existe para devolver un error. Puedes estar seguro de que si tu función se ejecuta, tendrá unstr en ese token.

Puedes probarlo ya en los docs interactivos:

Todavía no estamos verificando la validez del token, pero ya es un comienzo.

Resumen¶

Así que, en solo 3 o 4 líneas adicionales, ya tienes alguna forma primitiva de seguridad.