2. Day 10 - 用户注册和登录
    4. 阅读: 64240
    5. 用户管理是绝大部分Web网站都需要解决的问题。用户管理涉及到用户注册和登录。
    7. 用户注册相对简单，我们可以先通过API把用户注册这个功能实现了：
    9. _RE_EMAIL = re.compile(r'^[a-z0-9\.\-\_]+\@[a-z0-9\-\_]+(\.[a-z0-9\-\_]+){1,4}$')
    10. _RE_SHA1 = re.compile(r'^[0-9a-f]{40}$')
    12. @post('/api/users')
    13. def api_register_user(*, email, name, passwd):
    14.     if not name or not name.strip():
    15.         raise APIValueError('name')
    16.     if not email or not _RE_EMAIL.match(email):
    17.         raise APIValueError('email')
    18.     if not passwd or not _RE_SHA1.match(passwd):
    19.         raise APIValueError('passwd')
    20.     users = yield from User.findAll('email=?', [email])
    21.     if len(users) > 0:
    22.         raise APIError('register:failed', 'email', 'Email is already in use.')
    23.     uid = next_id()
    24.     sha1_passwd = '%s:%s' % (uid, passwd)
    25.     user = User(id=uid, name=name.strip(), email=email, passwd=hashlib.sha1(sha1_passwd.encode('utf-8')).hexdigest(), image='http://www.gravatar.com/avatar/%s?d=mm&s=120' % hashlib.md5(email.encode('utf-8')).hexdigest())
    26.     yield from user.save()
    27.     # make session cookie:
    28.     r = web.Response()
    29.     r.set_cookie(COOKIE_NAME, user2cookie(user, 86400), max_age=86400, httponly=True)
    30.     user.passwd = '******'
    31.     r.content_type = 'application/json'
    32.     r.body = json.dumps(user, ensure_ascii=False).encode('utf-8')
    33.     return r
    34. 注意用户口令是客户端传递的经过SHA1计算后的40位Hash字符串，所以服务器端并不知道用户的原始口令。
    36. 接下来可以创建一个注册页面，让用户填写注册表单，然后，提交数据到注册用户的API：
    38. {% extends '__base__.html' %}
    40. {% block title %}注册{% endblock %}
    42. {% block beforehead %}
    44. <script>
    45. function validateEmail(email) {
    46.     var re = /^[a-z0-9\.\-\_]+\@[a-z0-9\-\_]+(\.[a-z0-9\-\_]+){1,4}$/;
    47.     return re.test(email.toLowerCase());
    48. }
    49. $(function () {
    50.     var vm = new Vue({
    51.         el: '#vm',
    52.         data: {
    53.             name: '',
    54.             email: '',
    55.             password1: '',
    56.             password2: ''
    57.         },
    58.         methods: {
    59.             submit: function (event) {
    60.                 event.preventDefault();
    61.                 var $form = $('#vm');
    62.                 if (! this.name.trim()) {
    63.                     return $form.showFormError('请输入名字');
    64.                 }
    65.                 if (! validateEmail(this.email.trim().toLowerCase())) {
    66.                     return $form.showFormError('请输入正确的Email地址');
    67.                 }
    68.                 if (this.password1.length < 6) {
    69.                     return $form.showFormError('口令长度至少为6个字符');
    70.                 }
    71.                 if (this.password1 !== this.password2) {
    72.                     return $form.showFormError('两次输入的口令不一致');
    73.                 }
    74.                 var email = this.email.trim().toLowerCase();
    75.                 $form.postJSON('/api/users', {
    76.                     name: this.name.trim(),
    77.                     email: email,
    78.                     passwd: CryptoJS.SHA1(email + ':' + this.password1).toString()
    79.                 }, function (err, r) {
    80.                     if (err) {
    81.                         return $form.showFormError(err);
    82.                     }
    83.                     return location.assign('/');
    84.                 });
    85.             }
    86.         }
    87.     });
    88.     $('#vm').show();
    89. });
    90. </script>
    92. {% endblock %}
    94. {% block content %}
    96.     <div class="uk-width-2-3">
    97.         <h1>欢迎注册！</h1>
    98.         <form id="vm" v-on="submit: submit" class="uk-form uk-form-stacked">
    99.             <div class="uk-alert uk-alert-danger uk-hidden"></div>
    100.             <div class="uk-form-row">
    101.                 <label class="uk-form-label">名字:</label>
    102.                 <div class="uk-form-controls">
    103.                     <input v-model="name" type="text" maxlength="50" placeholder="名字" class="uk-width-1-1">
    104.                 </div>
    105.             </div>
    106.             <div class="uk-form-row">
    107.                 <label class="uk-form-label">电子邮件:</label>
    108.                 <div class="uk-form-controls">
    109.                     <input v-model="email" type="text" maxlength="50" placeholder="your-name@example.com" class="uk-width-1-1">
    110.                 </div>
    111.             </div>
    112.             <div class="uk-form-row">
    113.                 <label class="uk-form-label">输入口令:</label>
    114.                 <div class="uk-form-controls">
    115.                     <input v-model="password1" type="password" maxlength="50" placeholder="输入口令" class="uk-width-1-1">
    116.                 </div>
    117.             </div>
    118.             <div class="uk-form-row">
    119.                 <label class="uk-form-label">重复口令:</label>
    120.                 <div class="uk-form-controls">
    121.                     <input v-model="password2" type="password" maxlength="50" placeholder="重复口令" class="uk-width-1-1">
    122.                 </div>
    123.             </div>
    124.             <div class="uk-form-row">
    125.                 <button type="submit" class="uk-button uk-button-primary"><i class="uk-icon-user"></i> 注册</button>
    126.             </div>
    127.         </form>
    128.     </div>
    130. {% endblock %}
    131. 这样我们就把用户注册的功能完成了：
    135. 用户登录比用户注册复杂。由于HTTP协议是一种无状态协议，而服务器要跟踪用户状态，就只能通过cookie实现。大多数Web框架提供了Session功能来封装保存用户状态的cookie。
    137. Session的优点是简单易用，可以直接从Session中取出用户登录信息。
    139. Session的缺点是服务器需要在内存中维护一个映射表来存储用户登录信息，如果有两台以上服务器，就需要对Session做集群，因此，使用Session的Web App很难扩展。
    141. 我们采用直接读取cookie的方式来验证用户登录，每次用户访问任意URL，都会对cookie进行验证，这种方式的好处是保证服务器处理任意的URL都是无状态的，可以扩展到多台服务器。
    143. 由于登录成功后是由服务器生成一个cookie发送给浏览器，所以，要保证这个cookie不会被客户端伪造出来。
    145. 实现防伪造cookie的关键是通过一个单向算法（例如SHA1），举例如下：
    147. 当用户输入了正确的口令登录成功后，服务器可以从数据库取到用户的id，并按照如下方式计算出一个字符串：
    149. "用户id" + "过期时间" + SHA1("用户id" + "用户口令" + "过期时间" + "SecretKey")
    150. 当浏览器发送cookie到服务器端后，服务器可以拿到的信息包括：
    152. 用户id
    154. 过期时间
    156. SHA1值
    158. 如果未到过期时间，服务器就根据用户id查找用户口令，并计算：
    160. SHA1("用户id" + "用户口令" + "过期时间" + "SecretKey")
    161. 并与浏览器cookie中的哈希进行比较，如果相等，则说明用户已登录，否则，cookie就是伪造的。
    163. 这个算法的关键在于SHA1是一种单向算法，即可以通过原始字符串计算出SHA1结果，但无法通过SHA1结果反推出原始字符串。
    165. 所以登录API可以实现如下：
    167. @post('/api/authenticate')
    168. def authenticate(*, email, passwd):
    169.     if not email:
    170.         raise APIValueError('email', 'Invalid email.')
    171.     if not passwd:
    172.         raise APIValueError('passwd', 'Invalid password.')
    173.     users = yield from User.findAll('email=?', [email])
    174.     if len(users) == 0:
    175.         raise APIValueError('email', 'Email not exist.')
    176.     user = users[0]
    177.     # check passwd:
    178.     sha1 = hashlib.sha1()
    179.     sha1.update(user.id.encode('utf-8'))
    180.     sha1.update(b':')
    181.     sha1.update(passwd.encode('utf-8'))
    182.     if user.passwd != sha1.hexdigest():
    183.         raise APIValueError('passwd', 'Invalid password.')
    184.     # authenticate ok, set cookie:
    185.     r = web.Response()
    186.     r.set_cookie(COOKIE_NAME, user2cookie(user, 86400), max_age=86400, httponly=True)
    187.     user.passwd = '******'
    188.     r.content_type = 'application/json'
    189.     r.body = json.dumps(user, ensure_ascii=False).encode('utf-8')
    190.     return r
    192. # 计算加密cookie:
    193. def user2cookie(user, max_age):
    194.     # build cookie string by: id-expires-sha1
    195.     expires = str(int(time.time() + max_age))
    196.     s = '%s-%s-%s-%s' % (user.id, user.passwd, expires, _COOKIE_KEY)
    197.     L = [user.id, expires, hashlib.sha1(s.encode('utf-8')).hexdigest()]
    198.     return '-'.join(L)
    199. 对于每个URL处理函数，如果我们都去写解析cookie的代码，那会导致代码重复很多次。
    201. 利用middle在处理URL之前，把cookie解析出来，并将登录用户绑定到request对象上，这样，后续的URL处理函数就可以直接拿到登录用户：
    203. @asyncio.coroutine
    204. def auth_factory(app, handler):
    205.     @asyncio.coroutine
    206.     def auth(request):
    207.         logging.info('check user: %s %s' % (request.method, request.path))
    208.         request.__user__ = None
    209.         cookie_str = request.cookies.get(COOKIE_NAME)
    210.         if cookie_str:
    211.             user = yield from cookie2user(cookie_str)
    212.             if user:
    213.                 logging.info('set current user: %s' % user.email)
    214.                 request.__user__ = user
    215.         return (yield from handler(request))
    216.     return auth
    218. # 解密cookie:
    219. @asyncio.coroutine
    220. def cookie2user(cookie_str):
    221.     '''
    222.     Parse cookie and load user if cookie is valid.
    223.     '''
    224.     if not cookie_str:
    225.         return None
    226.     try:
    227.         L = cookie_str.split('-')
    228.         if len(L) != 3:
    229.             return None
    230.         uid, expires, sha1 = L
    231.         if int(expires) < time.time():
    232.             return None
    233.         user = yield from User.find(uid)
    234.         if user is None:
    235.             return None
    236.         s = '%s-%s-%s-%s' % (uid, user.passwd, expires, _COOKIE_KEY)
    237.         if sha1 != hashlib.sha1(s.encode('utf-8')).hexdigest():
    238.             logging.info('invalid sha1')
    239.             return None
    240.         user.passwd = '******'
    241.         return user
    242.     except Exception as e:
    243.         logging.exception(e)
    244.         return None
    245. 这样，我们就完成了用户注册和登录的功能。
    247. 参考源码
    249. day-10