Autenticação com API Key

Colocando IA em Produção com FastAPI

Matt Eckerle

Software and Data Engineering Leader

Por que proteger APIs?

Bloquear acessos não autorizados
Proteger endpoints da API com API key

Um cofre seguro

Como funcionam as API keys

Como uma senha digital da API
Enviada nos headers da requisição
Verificada antes de acessar endpoints

Diagrama de fluxo explicando como API keys funcionam

Entendendo APIKeyHeader

from fastapi import FastAPI
from fastapi.security import APIKeyHeader
header_scheme = APIKeyHeader(

                      name="X-API-Key",

                      auto_error=True

                 )

Autenticando um endpoint

from fastapi.security import APIKeyHeader
from fastapi import Depends, HTTPException


header_scheme = APIKeyHeader(name="X-API-Key",
                             auto_error=True)

API_SECRET_KEY = "your-secret-key"


@app.get("/items/")
def read_items(
    api_key: str = Depends(header_scheme)
):

    if api_key != API_SECRET_KEY:
        raise HTTPException(
            status_code=403,
            detail="Invalid API key")

    return {"api_key": api_key}

ApiKeyHeader
Depends adiciona o esquema do header
HTTPException para exceções
Define o header e a chave secreta da API
Valida API keys com test_api_key
Lança 403 se a chave não corresponder a API_SECRET_KEY

Autenticando um app

def verify_api_key(api_key: str = Depends(header_scheme)):
    if api_key != API_KEY:
        raise HTTPException(status_code=403,  detail="Invalid API key")
    return api_key


app = FastAPI(
    dependencies=[Depends(verify_api_key)]
)

@app.post("/predict")
def predict_sentiment(text: str):

    return {
        "text": text,
        "sentiment": "positive",
        "status": "success"
    }

Testando o endpoint

Comando com API key inválida:

curl -X POST \
  http://localhost:8000/predict \
  -H "X-API-Key: wrong-key" \
  -H "Content-Type: application/json" \
  -d '{"text": "This product is amazing!"}'

Comando com API key válida:

curl -X POST \
  http://localhost:8000/predict \
  -H "X-API-Key: your-secret-key" \
  -H "Content-Type: application/json" \
  -d '{"text": "This product is amazing!"}'

Saída com chave inválida:

{"detail":"Invalid API key"}

Saída com chave válida:

{"text":"This product is amazing!",
 "sentiment":"positive",
 "status":"success"}

Vamos praticar!

Colocando IA em Produção com FastAPI