Streamlit-Authenticator 认证模块密码配置指南

问题背景

在使用 Streamlit-Authenticator 进行用户认证时，开发者可能会遇到"用户名/密码不正确"的错误提示，即使配置文件中已正确设置了用户信息。这种情况通常是由于密码哈希处理不当导致的。

核心问题分析

Streamlit-Authenticator 要求密码必须以哈希形式存储，而不是明文存储。这是出于安全考虑的标准做法。哈希是一种单向加密算法，可以将密码转换为固定长度的字符串，即使配置文件被泄露，攻击者也无法轻易还原出原始密码。

解决方案详解

正确配置密码哈希

1. 生成密码哈希值： 使用 Streamlit-Authenticator 提供的 Hasher 类可以轻松生成密码的哈希值：

import streamlit_authenticator as stauth

passwords = ["你的密码1", "你的密码2"]
hashed_passwords = stauth.Hasher(passwords).generate()
print(hashed_passwords)

2. 更新配置文件： 将生成的哈希值复制到 config.yaml 文件中，替换原有的明文密码：

credentials:
  usernames:
    username1:
      email: [e-mail]
      name: User One
      password: $2b$12$生成的哈希字符串

自动哈希功能说明

Streamlit-Authenticator 确实提供了 auto_hash 功能，但需要注意：

1. 该功能仅在会话首次加载时有效
2. 使用后需要执行硬刷新（Ctrl+F5 或 Cmd+Shift+R）
3. 建议在生产环境中预先计算哈希值，而不是依赖自动哈希

最佳实践建议

1. 密码安全：

   • 永远不要在配置文件中存储明文密码
   • 为每个用户使用不同的强密码
   • 定期更新密码哈希

2. 开发流程：

   • 在开发环境使用自动哈希功能快速测试
   • 生产环境使用预先计算的哈希值
   • 将配置文件排除在版本控制之外

3. 错误排查：

   • 检查哈希值是否完整复制
   • 确认配置文件路径正确
   • 验证 YAML 文件格式是否正确

总结

正确配置密码哈希是使用 Streamlit-Authenticator 的关键步骤。通过预先计算密码哈希并正确配置，可以避免常见的认证失败问题。理解哈希机制不仅能解决当前问题，也是实现安全认证系统的重要基础。