如何向 Scotty 中间件添加基本身份验证？

Question

我目前正在制作 Scotty API，但找不到任何 basicAuth 实现示例（Wai Middleware HttpAuth）。

具体来说，我想向我的某些端点（即以“admin”开头的端点）添加基本身份验证 headers（用户、密码）。我已经设置好一切，但我似乎无法区分哪些端点需要身份验证，哪些不需要。我知道我需要使用 this 之类的东西，但它使用 Yesod，我无法将其翻译成 Scotty。

到目前为止，我有这个：

routes :: (App r m) => ScottyT LText m ()
routes = do
  -- middlewares
  middleware $ cors $ const $ Just simpleCorsResourcePolicy
    { corsRequestHeaders = ["Authorization", "Content-Type"]
    , corsMethods = "PUT":"DELETE":simpleMethods
    }
    
  middleware $ basicAuth 
      (\u p -> return $ u == "username" && p == "password") 
      "My Realm" 
  
  -- errors
  defaultHandler $ \str -> do
    status status500
    json str

  -- feature routes
  ItemController.routes
  ItemController.adminRoutes
  
  -- health
  get "/api/health" $
    json True

但它为我的所有请求添加了身份验证。我只需要其中一些。

非常感谢！

Answer 1

您可以使用 AuthSettings 的 authIsProtected 字段来定义一个函数 Request -> IO Bool 来确定特定的 (Wai) Request 是否需要基本授权验证。特别是，您可以检查 URL 路径组件并以这种方式做出决定。

不幸的是，这意味着授权检查与 Scotty 路由完全分离。这在您的情况下工作正常，但会使 Scotty 路由的授权细粒度控制变得困难。

无论如何，AuthSettings 是源代码中重载的 "My Realm" 字符串，根据文档，推荐的定义设置的方法是使用重载字符串编写如下内容：

authSettings :: AuthSettings
authSettings = "My Realm" { authIsProtected = needsAuth }

这看起来很糟糕，但无论如何，needsAuth 函数将具有签名：

needsAuth :: Request -> IO Bool

因此它可以检查 Wai Request 并在 IO 中决定页面是否首先需要基本身份验证。在 Request 上调用 pathInfo 会给你一个路径组件列表（没有主机名也没有查询参数）。因此，根据您的需要，以下内容应该有效：

needsAuth req = return $ case pathInfo req of
  "admin":_ -> True   -- all admin pages need authentication
  _         -> False  -- everything else is public

请注意，这些是解析的非查询路径组件，因此 /admin 和 /admin/ 以及 /admin/whatever 甚至 /admin/?q=hello 都受到保护，但显然 /administrator/... 不是。

完整示例：

{-# LANGUAGE OverloadedStrings #-}

import Web.Scotty
import Network.Wai.Middleware.HttpAuth
import Data.Text ()   -- needed for "admin" overloaded string in case
import Network.Wai (Request, pathInfo)

authSettings :: AuthSettings
authSettings = "My Realm" { authIsProtected = needsAuth }

needsAuth :: Request -> IO Bool
needsAuth req = return $ case pathInfo req of
  "admin":_ -> True   -- all admin pages need authentication
  _         -> False  -- everything else is public

main = scotty 3000 $ do
  middleware $ basicAuth (\u p -> return $ u == "username" && p == "password") authSettings
  get "/admin/deletedb" $ do
    html "<h1>Password database erased!</h1>"
  get "/" $ do
    html "<h1>Homepage</h1><p>Please don't <a href=/admin/deletedb>Delete the passwords</a>"

如何向 Scotty 中间件添加基本身份验证？

How to add basic auth to Scotty middleware?

authentication

haskell

functional-programming

middleware

scotty