金字塔的内置认证/授权可以实施复杂的安全方​​案吗？

Question

似乎安全模型适合非常小的项目,但是在security.py中编写所有可能的注册用户的散列密码可能是不可行的.您是否知道扩展金字塔身份验证的任何示例,或者通过Pyramid的安全方案调用我自己的安全信息数据库有什么好处？

Answer 1

我不认为项目的大小与安全模型有关.您想要一个简单或复杂的安全模型.两者都可以应用于任何规模的项目.金字塔的一个优点是它的可扩展性.

为什么要存储哈希密码security.py？(cmiiw在这里,我可能误解了)如果你在某人的代码中读到这个,那可能只是一个例子.在真实应用程序中,您可以将它们保存在您选择的存储/持久性系统中.

同样,我不明白你的意思是"扩展身份验证".我的猜测是你想要一些有用的例子:

• 来自文档的教程
• 枪战应用:形式的小而好的例子
• 金字塔身份验证演示:复杂/粒度/行级权限
• 金字塔顶点:第三方认证(谷歌,推特等)与velruse,表格等
• 金字塔注册:未完成的图书馆; 你可以从中窃取一些想法

Answer 2

不知道您的需求是什么，也不知道“扩大安全性”是什么意思，但金字塔身份验证策略非常灵活。您需要了解，虽然它不维护用户和密码，但它仅提供一种从传入请求中获取用户标识符的机制。例如，AuthTktAuthenticationPolicy通过您使用 Remember 方法设置的 cookie 来跟踪用户 ID。

您从该用户 ID 中获得哪些有意义的信息完全取决于您，并且是特定于应用程序的。

因此，您可能真正想问的问题是您的应用程序能否“扩展安全性”。

我无法向您展示代码，因为它是专有的，但我需要在同一应用程序上支持 openid、http auth 和典型的数据库支持的用户存储，而且用户存储在不同的数据库分片中并且分片可以增加额外的复杂性不能立即确定。只需很少的代码即可支持这一点。