使用 sqlalchemy 如何根据每个请求动态绑定到数据库引擎

Question

我有一个基于 Pylons 的 Web 应用程序，它通过 Sqlalchemy (v0.5) 连接到 Postgres 数据库。为了安全起见，我没有使用普通的 Postgres 用户（例如“webapp”），而不是遵循简单 Web 应用程序的典型模式（如几乎所有教程中所见），而是要求用户输入自己的 Postgres 用户名和密码，并使用它来建立连接。这意味着我们可以充分利用 Postgres 的安全性。

更复杂的是，有两个独立的数据库要连接。尽管它们目前在同一个 Postgres 集群中，但它们需要能够在以后移动到不同的主机。

我们正在使用 sqlalchemy 的 declarative 包，虽然我看不出这与此事有任何关系。

大多数 sqlalchemy 示例都展示了一些简单的方法，例如在应用程序启动时使用通用数据库用户 ID 和密码设置一次元数据，通过 Web 应用程序使用。这通常使用 Metadata.bind = create_engine() 完成，有时甚至在数据库模型文件中的模块级别。

我的问题是，我们如何才能在用户登录之前推迟建立连接，然后（当然）为每个后续请求重新使用这些连接，或者使用相同的凭据重新建立它们。

我们有这个工作——我们认为——但我不仅不确定它的安全性，而且我还认为它在这种情况下看起来非常重要。

在 BaseController 的 __call__ 方法中，我们从 Web 会话中检索用户 ID 和密码，为每个数据库调用一次 sqlalchemy create_engine()，然后调用一个例程重复调用 Session.bind_mapper()，每个表一次可能在这些连接中的每一个上都被引用，即使任何给定的请求通常只引用一个或两个表。它看起来像这样：

# in lib/base.py on the BaseController class
def __call__(self, environ, start_response):

    # note: web session contains {'username': XXX, 'password': YYY}
    url1 = 'postgres://%(username)s:%(password)s@server1/finance' % session
    url2 = 'postgres://%(username)s:%(password)s@server2/staff' % session

    finance = create_engine(url1)
    staff = create_engine(url2)
    db_configure(staff, finance)  # see below
    ... etc

# in another file

Session = scoped_session(sessionmaker())

def db_configure(staff, finance):
    s = Session()

    from db.finance import Employee, Customer, Invoice
    for c in [
        Employee,
        Customer,
        Invoice,
        ]:
        s.bind_mapper(c, finance)

    from db.staff import Project, Hour
    for c in [
        Project,
        Hour,
        ]:
        s.bind_mapper(c, staff)

    s.close()  # prevents leaking connections between sessions?

所以 create_engine() 调用发生在每个请求上......我可以看到这是需要的，并且连接池可能会缓存它们并明智地做事。

但是在 every 请求时为 each 表调用一次 Session.bind_mapper() 吗？似乎必须有更好的方法。

显然，由于对强大安全性的渴望是所有这一切的基础，我们不希望为高安全性用户建立的连接无意中被低安全性用户在以后的请求中使用。

Answer 1

我会查看连接池，看看您是否找不到让每个用户拥有一个池的方法。 当用户会话过期时，您可以dispose()池

Answer 2

将全局对象（映射器、元数据）绑定到特定于用户的连接不是好方法。以及使用范围会话。我建议为每个请求创建新会话并将其配置为使用特定于用户的连接。以下示例假定您为每个数据库使用单独的元数据对象：

binds = {}

finance_engine = create_engine(url1)
binds.update(dict.fromkeys(finance_metadata.sorted_tables, finance_engine))
# The following line is required when mappings to joint tables are used (e.g.
# in joint table inheritance) due to bug (or misfeature) in SQLAlchemy 0.5.4.
# This issue might be fixed in newer versions.
binds.update(dict.fromkeys([Employee, Customer, Invoice], finance_engine))

staff_engine = create_engine(url2)
binds.update(dict.fromkeys(staff_metadata.sorted_tables, staff_engine))
# See comment above.
binds.update(dict.fromkeys([Project, Hour], staff_engine))

session = sessionmaker(binds=binds)()