FastAPI中实现可配置的API密钥安全策略

from fastapi.security import APIKeyHeader

api_key_header = APIKeyHeader(name="X-API-Key")

# 在依赖函数中验证密钥
def get_api_key(api_key: str = Security(api_key_header)):
    if api_key == "your-secret-key":
        return api_key
    raise HTTPException(status_code=401, detail="Invalid API Key")

from fastapi import FastAPI, HTTPException, Security
from fastapi.security import APIKeyHeader

app = FastAPI()

TEST_MODE: bool = True # 假设在测试模式

api_keys = ["my_api_key"]
api_key_header = APIKeyHeader(name="X-API-Key")

def get_api_key_v1(api_key_from_header: str = Security(api_key_header)) -> str:
    # 即使在测试模式，Security(api_key_header) 也会尝试提取请求头
    if api_key_from_header in api_keys or TEST_MODE:
        return api_key_from_header
    raise HTTPException(
        status_code=401,
        detail="无效或缺失的API密钥",
    )

@app.get("/protected_v1")
def protected_route_v1(api_key: str = Security(get_api_key_v1)):
    return {"message": "访问成功！"}

from fastapi import FastAPI, HTTPException, Security, Depends
from fastapi.security import APIKeyHeader
from typing import Optional
import os

app = FastAPI()

# 1. 配置项：通过环境变量管理测试模式，更具灵活性和安全性
# 例如：在运行应用前设置 export FASTAPI_TEST_MODE=true
# 默认设置为False，确保生产环境安全
TEST_MODE: bool = os.getenv("FASTAPI_TEST_MODE", "false").lower() == "true"

# 2. 模拟有效的API密钥列表
API_KEYS = ["my_api_key", "another_valid_key"]

# 3. 定义API密钥头提取器
# auto_error=False 允许我们自定义缺失密钥时的错误处理，而不是让APIKeyHeader直接抛出403
api_key_header = APIKeyHeader(name="X-API-Key", auto_error=False)

# 4. 依赖函数：获取并验证API密钥
def get_api_key(
    # 关键：根据TEST_MODE条件性地应用Security依赖
    # 如果不是测试模式，则Security(api_key_header)会尝试提取密钥
    # 如果是测试模式，则request_key_header直接被赋值为None，Security依赖被跳过
    request_key_header: Optional[str] = Security(api_key_header) if not TEST_MODE else None,
) -> str:
    # 如果处于测试模式，直接返回一个占位符密钥，绕过所有验证
    if TEST_MODE:
        print("处于测试模式，安全认证已跳过。")
        return "TEST_MODE_BYPASS_KEY" # 返回一个虚拟密钥，确保类型匹配

    # 如果不在测试模式，则进行实际的API密钥验证
    # request_key_header为None表示API密钥头缺失 (因为auto_error=False)
    if request_key_header is None or request_key_header not in API_KEYS:
        raise HTTPException(
            status_code=401,
            detail="无效或缺失的API密钥",
        )
    return request_key_header

# 5. 受保护的API路由
@app.get("/protected")
def protected_route(api_key: str = Depends(get_api_key)): # 使用Depends更符合依赖注入语义
    return {"message": f"访问成功！使用的API密钥：{api_key}"}

# 6. 非受保护的API路由（用于对比）
@app.get("/public")
def public_route():
    return {"message": "这是一个公开路由，无需认证。"}