Làm cách nào để xử lý xác thực và ủy quyền với tiết kiệm?

Question

Tôi đang phát triển một hệ thống sử dụng tiết kiệm. Tôi muốn danh tính khách hàng được kiểm tra và hoạt động được ACLed. Có tiết kiệm cung cấp bất kỳ hỗ trợ cho những người?

Answer 1

Không trực tiếp. Cách duy nhất để thực hiện điều này là có phương thức xác thực tạo khóa (tạm thời) trên máy chủ, sau đó thay đổi tất cả các phương thức của bạn để đối số đầu tiên là khóa này và tất cả chúng đều tăng thêm lỗi không được xác thực. Ví dụ:

exception NotAuthorisedException { 
    1: string errorMessage, 
} 

exception AuthTimeoutException { 
    1: string errorMessage, 
} 

service MyAuthService { 
    string authenticate(1:string user, 2:string pass) 
     throws (1:NotAuthorisedException e), 

    string mymethod(1:string authstring, 2:string otherargs, ...) 
     throws (1:AuthTimeoutException e, ...), 
} 

Chúng tôi sử dụng phương pháp này và lưu khóa của chúng tôi vào một bản ghi nhớ bảo mật với thời gian chờ 30 phút để giữ mọi thứ "linh hoạt". Khách hàng nhận được AuthTimeoutException dự kiến ​​sẽ ủy quyền lại và thử lại và chúng tôi có một số quy tắc tường lửa để ngăn chặn các cuộc tấn công bạo lực.

Answer 2

Các tác vụ như tự động và quyền không được coi là một phần của Tiết kiệm, chủ yếu là vì những thứ này thường liên quan đến logic ứng dụng hơn khái niệm RPC/serialization chung. Điều duy nhất mà tiết kiệm hỗ trợ ra khỏi hộp ngay bây giờ là TSASLTransport. Tôi không thể nói nhiều về bản thân mình, đơn giản là vì tôi không bao giờ cảm thấy cần phải sử dụng nó.

Tùy chọn khác có thể là sử dụng THeaderTransport mà không may tại thời điểm viết chỉ được triển khai với C++. Do đó, nếu bạn có kế hoạch sử dụng nó với một số ngôn ngữ khác, bạn có thể phải đầu tư một số công việc bổ sung. Không cần phải nói rằng chúng tôi chấp nhận những đóng góp ...

Answer 3

Một chút trễ (tôi đoán rất muộn) nhưng tôi đã sửa đổi mã nguồn tiết kiệm cho điều này một vài năm trước đây.

Chỉ cần gửi một vé có Bản vá đến https://issues.apache.org/jira/browse/THRIFT-4221 chỉ với điều này.

Hãy xem xét điều đó. Về cơ bản đề xuất là thêm một móc "BeforeAction" thực hiện chính xác điều đó.

Ví dụ Golang tạo diff

+  // Called before any other action is called 
+  BeforeAction(serviceName string, actionName string, args map[string]interface{}) (err error) 
+  // Called if an action returned an error 
+  ProcessError(err error) error 
} 

type MyServiceClient struct { 
@@ -391,7 +395,12 @@ func (p *myServiceProcessorMyMethod) Process(seqId int32, iprot, oprot thrift.TP 
     result := MyServiceMyMethodResult{} 
     var retval string 
     var err2 error 
-  if retval, err2 = p.handler.MyMethod(args.AuthString, args.OtherArgs_); err2 != nil { 
+  err2 = p.handler.BeforeAction("MyService", "MyMethod", map[string]interface{}{"AuthString": args.AuthString, "OtherArgs_": args.OtherArgs_}) 
+  if err2 == nil { 
+    retval, err2 = p.handler.MyMethod(args.AuthString, args.OtherArgs_) 
+  } 
+  if err2 != nil { 
+    err2 = p.handler.ProcessError(err2)