Seminar FastAPI Security: Authentifizierung und Autorisierung mit JWT und OAuth2

Inhaltsverzeichnis

• Abstract
• Zielgruppe
• Voraussetzungen
• Dauer und Zeitaufteilung
• Lernziele
• Seminarstruktur und Inhalte
• Step-by-step-Anleitung: JWT-basierte Login-API
• Optionale Erweiterungen

Abstract
Das Security-Seminar fokussiert auf Authentifizierung und Autorisierung in FastAPI. JWT, OAuth2, Rollen- und Rechtekonzepte sowie sichere Konfiguration werden in einer Beispielanwendung umgesetzt. Der Kurs schließt mit einer abgesicherten API inklusive Login, Refresh-Mechanismus und eingeschränkten Ressourcen.

Zielgruppe

• FastAPI-Entwickler, die produktive APIs absichern müssen
• Architektinnen und Tech-Leads mit Fokus auf Security-Konzepte
• DevOps, die Security-Aspekte verstehen und prüfen wollen

Voraussetzungen

• Inhalte aus FastAPI Grundlagen: Einstieg in moderne Python-APIs
• Idealerweise Inhalte aus FastAPI Professional: Architektur, Validierung und Dokumentation
• Grundlagen der HTTP-Security und gängige Angriffsvektoren
• Erste Erfahrung mit Nutzerverwaltung oder Auth-Systemen

Agenda

Tag 1

• Modul 1: Grundlagen API-Security und Threat-Model
• Modul 2: Passwort-Hashing und User-Management
• Modul 3: JWT-Grundlagen, Signatur und Lebensdauer
• Modul 4: Login-Endpunkte und Refresh-Strategie

Tag 2

• Modul 5: OAuth2-Flow in FastAPI
• Modul 6: Rollen und Berechtigungen
• Modul 7: Security Best Practices, CORS und Header
• Modul 8: Abschlussprojekt und Code-Review

Lernziele

• JWT-basierte Authentifizierung in FastAPI implementieren
• User-Modelle und Passwort-Hashing sicher umsetzen
• Rollen- und Rechtekonzepte in Endpunkte integrieren
• OAuth2-Schemen in FastAPI konfigurieren
• Basismaßnahmen gegen typische API-Angriffsvektoren umsetzen

Seminarstruktur und Inhalte

• Sicherheitsgrundlagen
  • Bedrohungsmodelle und Angriffsvektoren
  • Prinzipien wie Least Privilege und Defense in Depth
• Nutzerverwaltung
  • User-Modelle und Passwort-Hashing
  • Registrierungs- und Login-Flows
• Token-basierte Authentifizierung
  • JWT-Aufbau, Signatur und Claims
  • Access- und Refresh-Tokens
• OAuth2 in FastAPI
  • Password Flow und weitere Flows auf Konzept-Ebene
  • Integration mit OAuth2-Schemen
• Autorisierung
  • Rollenmodelle (Role-Based Access Control)
  • Objektbasierte Zugriffe (konzeptionell)
• Security Best Practices
  • CORS-Konfiguration
  • Sichere Default-Header und Logging von Security-Events

Step-by-step-Anleitung: JWT-basierte Login-API

• User-Modell definieren
  • Pydantic-Schema für User-Credentials
  • Datenmodell für gespeicherte User
• Passwort-Hashing einführen
  • Hash-Funktion auswählen
  • Hilfsfunktionen zum Hashen und Prüfen implementieren
• Token-Konfiguration erstellen
  • Secret-Key und Algorithmus definieren
  • Token-Lebensdauer als Konfiguration ablegen
• Token-Erzeugung implementieren
  • Funktion zur Erzeugung von Access-Tokens
  • Claims (z. B. sub, Rollen) festlegen
• Login-Endpunkt bauen
  • Credentials prüfen
  • Bei Erfolg Token generieren und zurückgeben
  • Fehlermeldungen bei falschen Daten definieren
• Protected Routes definieren
  • Dependency für Token-Prüfung erstellen
  • Nutzer aus Token-Claims ableiten
  • Rolle oder Berechtigung prüfen
• Tests durchführen
  • Login mit gültigen und ungültigen Daten
  • Zugriff auf geschützte Ressourcen mit und ohne Token

Optionale Erweiterungen

• Refresh-Tokens und Blacklisting-Konzept
• Integration externer Identity-Provider auf Konzept-Ebene