Python登录案例如何实现账号登录功能

wen python案例 2026-06-29 21

Python登录案例：从零实现账号登录功能，附完整代码与常见问题解答

目录导读

登录功能的核心逻辑与设计思路
环境准备与基础代码结构
无数据库的简单登录实现
连接数据库实现用户验证
安全加固：密码加密与防暴力破解
常见问题问答（FAQ）
扩展：Cookie/Session状态保持

登录功能的核心逻辑与设计思路

无论是Web应用还是桌面程序，登录功能的本质都是校验用户输入的凭证是否匹配系统存储的记录,一个完整的登录流程通常包含以下步骤：

Python登录案例如何实现账号登录功能

接收输入：获取用户提交的用户名/邮箱和密码。
数据验证：检查输入格式（如非空、密码长度）。
凭证比对：将输入密码经过哈希后与数据库存储的哈希值对比。
状态管理：登录成功则生成会话标识（Session或Token）,失败返回错误提示。

重要设计原则：永远不要明文存储密码，必须使用哈希函数（如bcrypt、PBKDF2）加盐处理。

环境准备与基础代码结构

我们将使用Python 3.9+,并安装以下依赖：

pip install flask flask-sqlalchemy flask-bcrypt

项目目录结构建议：

login_demo/
├── app.py          # 主程序
├── models.py       # 数据库模型
└── templates/
    └── login.html  # 登录页面

无数据库的简单登录实现

先用内存字典模拟用户数据,适合快速原型验证。

# app.py (简易版)
from flask import Flask, request, render_template, redirect, url_for, session
app = Flask(__name__)
app.secret_key = 'your-secret-key-here'
# 模拟用户表（实际应存入数据库）
users = {
    'admin': '123456',
    'user1': 'password1'
}
@app.route('/')
def home():
    if 'username' in session:
        return f"已登录：{session['username']}"
    return "请先<a href='/login'>登录</a>"
@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'POST':
        username = request.form['username']
        password = request.form['password']
        if username in users and users[username] == password:
            session['username'] = username
            return redirect(url_for('home'))
        return "登录失败：用户名或密码错误"
    return render_template('login.html')
if __name__ == '__main__':
    app.run(debug=True)

演示级登录的缺点：密码明文存储、无防SQL注入（但此处未用数据库）、无安全性校验。

连接数据库实现用户验证

我们将使用SQLite和SQLAlchemy ORM来实现持久化存储。

1 创建数据库模型 (models.py)

from flask_sqlalchemy import SQLAlchemy
from flask_bcrypt import Bcrypt
db = SQLAlchemy()
bcrypt = Bcrypt()
class User(db.Model):
    id = db.Column(db.Integer, primary_key=True)
    username = db.Column(db.String(80), unique=True, nullable=False)
    password_hash = db.Column(db.String(120), nullable=False)
    def set_password(self, password):
        self.password_hash = bcrypt.generate_password_hash(password).decode('utf-8')
    def check_password(self, password):
        return bcrypt.check_password_hash(self.password_hash, password)

2 登录接口实现 (app.py)

from flask import Flask, request, render_template, redirect, url_for, session, flash
from models import db, bcrypt, User
app = Flask(__name__)
app.config['SQLALCHEMY_DATABASE_URI'] = 'sqlite:///users.db'
app.config['SECRET_KEY'] = 'your-secret-key'
db.init_app(app)
bcrypt.init_app(app)
# 创建表
with app.app_context():
    db.create_all()
@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'POST':
        username = request.form['username'].strip()
        password = request.form['password'].strip()
        # 输入校验
        if not username or not password:
            return "用户名和密码不能为空", 400
        user = User.query.filter_by(username=username).first()
        if user and user.check_password(password):
            session['user_id'] = user.id
            flash('登录成功', 'success')
            return redirect(url_for('dashboard'))
        else:
            flash('用户名或密码错误', 'error')
            return render_template('login.html'), 401
    return render_template('login.html')

关键改进：

使用bcrypt对密码进行哈希存储
使用ORM防止SQL注入
使用Flash消息传递反馈

安全加固：密码加密与防暴力破解

1 密码加密实践

在上面的代码中我们已经使用了flask-bcrypt,但需要注意的是：

盐值自动生成：bcrypt每次生成的哈希值不同,即使相同密码也不同。
计算成本：可通过参数调整哈希复杂度（默认12轮）,增加暴力破解难度。

2 限制登录尝试次数

使用Redis或内存缓存记录失败次数：

from functools import wraps
from flask import session, request, abort
from datetime import datetime, timedelta
# 假设使用字典记录（生产环境建议用Redis）
login_attempts = {}
def rate_limit(max_attempts=5, window_minutes=15):
    def decorator(f):
        @wraps(f)
        def decorated_function(*args, **kwargs):
            ip = request.remote_addr
            now = datetime.now()
            if ip in login_attempts:
                attempts = login_attempts[ip]
                # 清除过期记录
                attempts = [t for t in attempts if now - t < timedelta(minutes=window_minutes)]
                if len(attempts) >= max_attempts:
                    abort(429, description="登录尝试次数过多，请15分钟后重试")
                login_attempts[ip] = attempts
            return f(*args, **kwargs)
        return decorated_function
    return decorator
@app.route('/login', methods=['POST'])
@rate_limit()
def login_post():
    # ... 实际登录逻辑

常见问题问答（FAQ）

Q1：如何验证用户密码输入是否正确？

A：使用哈希函数比对，例如bcrypt.check_password_hash(stored_hash, input_password),永远不要直接比较密码明文。

Q2：用户登录后如何保持会话？

A：使用Session（如Flask的session对象）或JWT（JSON Web Token），Session将数据存储在服务器端，客户端只保留一个加密的Session ID。

Q3：如何防止用户重复登录顶替？

A：可在登录时生成唯一Token并存到数据库，当用户再次登录时，旧的Token失效，或者限制同一账号只能在一个设备登录（如微信、知乎的策略）。

Q4：为什么我的登录页面提交后跳回登录页但没报错？

A：检查两点：①表单action路径是否正确；②是否成功设置了secret_key,否则Session无法正常工作。

Q5：生产环境应该用SQLite还是MySQL/PostgreSQL？

A：学习阶段用SQLite足够，但生产环境推荐使用MySQL或PostgreSQL,支持并发读写且性能更好。

扩展：Cookie/Session状态保持

完整登录系统还需要考虑状态管理,这里展示一个基于Session的流程：

# 登录成功后
session['logged_in'] = True
session['user_id'] = user.id

在需要验证的视图函数中：

from flask import session, abort
def require_login():
    if not session.get('logged_in'):
        abort(401)
@app.route('/dashboard')
def dashboard():
    require_login()
    return f"欢迎回来，用户{user_id}"

对于前后端分离的项目，建议使用JWT（JSON Web Token）替代Session,实现无状态认证。

一个完整的Python登录案例应该包含输入校验、数据库存储、密码哈希、会话管理、安全防护五个核心模块，本文涵盖了从简单演示到生产级实现的完整路径，你可以根据实际需求选择对应部分进行集成，如果需要源代码或进一步优化建议,欢迎留言探讨。