这是一个创建于 2329 天前的主题，其中的信息可能已经有所发展或是发生改变。
打算做个小程序，所以用 Flask 写了后端 API，现在的问题是这个 API 没有加入任何的验证信息。只要知道 API 的连接构造，每个人都可以请求 API，然后修改后台的数据。
因为我的数据都是会在小程序都请求，所以现在的想法就是能不能在微信用户初次给我小程序授权的时候，利用 unionid 生成一个初始的密码，并且利用 unionid+密码生成一个 taken，以后用户每次请求数据的时候，就通过用户的 unionid 和 taken 进行鉴权。
不知道这样是否可行？另外想着到目前给微信小程序使用的 API 常用的处理是怎样的？
小白用户，希望大家可以指点一下，谢谢！
 |
1
silhouette 2018-06-18 13:32:53 +08:00 via Android
token 不是 taken 哦
|
 |
2
janus77 2018-06-18 13:36:30 +08:00 via Android
后端自己支持一下 token 验证不行么
|
 |
3
hunk 2018-06-18 13:43:48 +08:00
了解下 JWT 登录。
返回 token，保存为 cookie. |
 |
4
shilielin OP @silhouette 嗯，写错了
|
 |
6
stonehe 2018-06-18 16:07:37 +08:00
flask-httpauth 这么方便简单的库为什么不拿来用
|
 |
7
woscaizi 2018-06-18 16:22:47 +08:00 via iPhone
直接在服务端验证 unionId，openId 是否存在，最简单的办法吧。
|
 |
8
zhuangzhuang1988 2018-06-18 22:14:47 +08:00
用 django-rest-framework
自己搞认证啥，api 限制啥的瞎折腾 不然直接用标准的 |
 |
9
KgM4gLtF0shViDH3 2018-06-18 22:16:16 +08:00
小程序的代码别人拿不到，不知道 root 之后能不能拿到，如果别人拿不到的话可以在客户端存个 secret 然后和时间戳什么的加密成一个 token，请求的时候把 token 带上就能验证了。
|
|
10
shilielin OP @zhuangzhuang1988 嗯，我打算用现有的轮子，只是想知道目前大家是不是都是用 Web 和 app 一样的思路处理小程序的 API
|
 |
11
wzw 2018-06-18 23:12:46 +08:00
flask-restful 可以去看看
|
 |
12
geekcorn 2018-06-18 23:16:13 +08:00 via iPhone
理论上通过微信授权流程链接获取的 unionid 或者 openid 是没法伪造的吧，直接数据库匹配数据就行了吧，不放心就加一层 jwt 认证，推荐 pyjwt 框架
|
 |
13
lcy630409 2018-06-19 10:22:25 +08:00
想复杂了，就是把 session 替换成 token
前台在第一次联系后台的时候生成一个唯一 token，返回给前台，前台存在 cookie 里，每次请求的时候在 header 里带上这个 cookie 就行了 |
 |
14
mht 2018-06-19 16:44:37 +08:00
@bestkayle 我在一个小程序的交流群里 见过有人专门用安卓手机抓包,然后用 github 上的开源工具解包小程序代码,兜售小程序的源码来着...
|
 |
16
ybark 2018-06-23 22:53:55 +08:00
手机本地找到小程序代码包 wxapkg，通过 github 上有人写的反编译还原脚本（项目距发这条评论前 11 天还在更新）。理论上看，若真要有团队有时间去搞你的小程序，如果你没做特别的处理，小程序就是开源的。那么此时后端 api 带不带 token，就没区别了，整套代码跑起来，token 也能拿到，后面需要 token 的 api 也不用伪造请求。
|
Select Language