AI智能证件照制作工坊权限管理：多用户隔离部署教程

1. 引言

1.1 学习目标

本文将详细介绍如何在生产环境中为AI 智能证件照制作工坊实现多用户权限隔离与安全部署，确保多个用户或租户在共享同一服务实例时，彼此的数据、配置和操作完全隔离。通过本教程，读者将掌握：

多用户场景下的系统架构设计
基于容器化与反向代理的访问控制方案
用户级数据目录隔离策略
API 接口的身份验证机制（Token 认证）
WebUI 的前端访问权限控制实践

最终实现一个可落地、高安全性、支持并发使用的商业级证件照服务平台。

1.2 前置知识

为顺利理解并实施本教程内容，建议具备以下基础：

熟悉 Linux 命令行操作
了解 Docker 容器技术基本用法
掌握 Nginx 反向代理配置
具备基础的 RESTful API 使用经验
了解 JWT 或 Token 身份认证机制

1.3 教程价值

随着 AI 图像处理工具在企业服务中的广泛应用，单一本地运行模式已无法满足团队协作或多客户托管需求。本文提供的多用户隔离部署方案，不仅适用于证件照生成系统，也可作为通用模板应用于其他 AI 工具平台（如简历排版、形象照优化等），具有高度的可复用性和工程参考价值。

2. 系统架构设计与环境准备

2.1 整体架构概览

本方案采用“单实例核心引擎 + 多租户路由控制 + 数据空间隔离”的设计思想，构建如下分层结构：

+---------------------+ | 用户访问层 | | WebUI / API Client | +----------+----------+ | +--------v--------+ +------------------+ | Nginx 反向代理 |<--->| JWT 验证 & 路由分发 | +--------+--------+ +------------------+ | +-------v--------+ | Flask 核心服务 | | (Rembg + PIL) | +-------+--------+ | +-------v--------+ | 本地存储隔离区 | | /data/user_{id}/ | +-----------------+

该架构实现了：

请求统一入口管理
动态用户身份识别
文件路径沙箱隔离
日志审计追踪能力

2.2 环境准备

操作系统要求

推荐使用 Ubuntu 20.04 LTS 或 CentOS 8 以上版本。

必需软件安装

# 更新系统包 sudo apt update && sudo apt upgrade -y # 安装 Docker curl -fsSL https://get.docker.com | sh sudo usermod -aG docker $USER # 安装 Docker Compose sudo curl -L "https://github.com/docker/compose/releases/latest/download/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose sudo chmod +x /usr/local/bin/docker-compose

创建项目目录结构

mkdir -p /opt/idphoto/{config,data,logs,webui} cd /opt/idphoto

目录说明：

config/：存放 Nginx、Flask 配置文件
data/：按用户 ID 分割的私有存储区
logs/：日志集中输出位置
webui/：Web 前端静态资源挂载点

3. 多用户权限控制实现

3.1 用户注册与 Token 发放机制

我们采用轻量级 Token 认证方式，避免引入复杂数据库依赖。

用户注册接口示例（Python Flask）

# app.py from flask import Flask, request, jsonify import secrets import os import json app = Flask(__name__) USERS_FILE = "/config/users.json" TOKENS = {} # 初始化用户数据文件 if not os.path.exists(USERS_FILE): with open(USERS_FILE, 'w') as f: json.dump({}, f) @app.route('/api/register', methods=['POST']) def register(): username = request.json.get('username') password = request.json.get('password') if not username or not password: return jsonify({"error": "Missing credentials"}), 400 with open(USERS_FILE, 'r+') as f: users = json.load(f) if username in users: return jsonify({"error": "User already exists"}), 409 token = secrets.token_urlsafe(32) users[username] = { "password": password, # 生产环境应哈希存储 "token": token, "user_id": len(users) + 1 } f.seek(0) json.dump(users, f, indent=2) os.makedirs(f"/data/user_{users[username]['user_id']}", exist_ok=True) return jsonify({"token": token, "user_id": users[username]["user_id"]}), 201

📌 核心逻辑说明：
每个用户分配唯一user_id
注册成功后自动创建独立数据目录/data/user_X/
返回随机生成的 Token 用于后续认证

3.2 API 接口权限校验中间件

所有敏感接口均需进行 Token 验证。

def require_auth(f): def decorated(*args, **kwargs): token = request.headers.get('Authorization') if not token: return jsonify({"error": "Missing Authorization header"}), 401 token = token.replace("Bearer ", "") with open(USERS_FILE, 'r') as f: users = {u: d for u, d in json.load(f).items() if d["token"] == token} if not users: return jsonify({"error": "Invalid token"}), 403 request.current_user = list(users.values())[0] return f(*args, **kwargs) return decorated @app.route('/api/generate', methods=['POST']) @require_auth def generate_photo(): user_id = request.current_user["user_id"] input_path = f"/data/user_{user_id}/input.jpg" output_path = f"/data/user_{user_id}/output.jpg" # 后续调用 Rembg 和裁剪逻辑... return jsonify({"result_url": f"/result?user_id={user_id}&t={int(time.time())}"}), 200

此中间件确保：

所有请求必须携带有效 Token
用户只能访问自己的数据路径
支持后期扩展 RBAC 权限模型

4. 数据存储与文件路径隔离

4.1 用户级目录结构设计

为防止越权访问，采用以下命名规则：

/data/ ├── user_1/ │ ├── uploads/ │ ├── outputs/ │ └── logs/ ├── user_2/ │ ├── uploads/ │ ├── outputs/ │ └── logs/ └── ...

每个用户的输入、输出、日志均严格分离，且由服务进程动态绑定。

4.2 文件上传路径安全控制

import uuid import os from werkzeug.utils import secure_filename ALLOWED_EXTENSIONS = {'png', 'jpg', 'jpeg'} def allowed_file(filename): return '.' in filename and \ filename.rsplit('.', 1)[1].lower() in ALLOWED_EXTENSIONS @app.route('/api/upload', methods=['POST']) @require_auth def upload_image(): user_id = request.current_user["user_id"] upload_dir = f"/data/user_{user_id}/uploads/" os.makedirs(upload_dir, exist_ok=True) if 'file' not in request.files: return jsonify({"error": "No file uploaded"}), 400 file = request.files['file'] if file.filename == '': return jsonify({"error": "Empty filename"}), 400 if file and allowed_file(file.filename): ext = file.filename.rsplit('.', 1)[1].lower() filename = f"{uuid.uuid4().hex}.{ext}" filepath = os.path.join(upload_dir, filename) file.save(filepath) return jsonify({"filepath": filepath}), 200 else: return jsonify({"error": "File type not allowed"}), 400

🛡️ 安全要点：
使用secure_filename防止路径遍历攻击
文件名重命名为 UUID，避免冲突和信息泄露
限制上传类型，防止恶意脚本注入

5. WebUI 前端访问控制集成

5.1 登录页面改造

修改原始 WebUI 的前端入口，增加登录页跳转逻辑。

<!-- index.html --> <script> if (!localStorage.getItem('auth_token')) { window.location.href = '/login.html'; } </script>

5.2 登录表单实现（login.html）

<form id="loginForm"> <input type="text" id="username" placeholder="用户名" required /> <input type="password" id="password" placeholder="密码" required /> <button type="submit">登录</button> </form> <script> document.getElementById('loginForm').addEventListener('submit', async (e) => { e.preventDefault(); const user = e.target.username.value; const pass = e.target.password.value; const res = await fetch('/api/login', { method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSON.stringify({ username: user, password: pass }) }); const data = await res.json(); if (res.ok) { localStorage.setItem('auth_token', data.token); localStorage.setItem('user_id', data.user_id); window.location.href = '/index.html'; } else { alert("登录失败：" + data.error); } }); </script>

5.3 请求拦截器注入

在所有 API 调用中自动附加 Token：

// utils/api.js export const request = async (url, options = {}) => { const token = localStorage.getItem('auth_token'); const headers = { 'Content-Type': 'application/json', ...(token ? { 'Authorization': `Bearer ${token}` } : {}) }; const res = await fetch(url, { ...options, headers }); if (res.status === 401) { localStorage.removeItem('auth_token'); window.location.href = '/login.html'; } return res; };

6. Nginx 反向代理与 HTTPS 加密

6.1 配置多租户路由转发

# /opt/idphoto/config/nginx.conf worker_processes auto; events { worker_connections 1024; } http { include mime.types; default_type application/octet-stream; server { listen 80; server_name photos.yourdomain.com; # 强制跳转 HTTPS return 301 https://$server_name$request_uri; } server { listen 443 ssl http2; server_name photos.yourdomain.com; ssl_certificate /etc/ssl/certs/fullchain.pem; ssl_certificate_key /etc/ssl/private/privkey.pem; location /api/ { proxy_pass http://127.0.0.1:5000/; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } location / { root /opt/idphoto/webui; try_files $uri $uri/ /index.html; } error_log /var/log/nginx/error.log; access_log /var/log/nginx/access.log; } }

6.2 SSL 证书获取（Let's Encrypt）

# 安装 Certbot sudo apt install certbot -y # 获取证书（需提前解析域名） sudo certbot certonly --standalone -d photos.yourdomain.com # 添加自动续期任务 (crontab -l 2>/dev/null; echo "0 12 * * * /usr/bin/certbot renew --quiet") | crontab -