我正在开发一个使用Thrift的系统。我希望检查客户端身份并对操作进行 ACL 授权。Thrift 是否提供任何支持?
我正在开发一个使用Thrift的系统。我希望检查客户端身份并对操作进行 ACL 授权。Thrift 是否提供任何支持?
直接来说是不行的。唯一的方法是有一个身份验证方法,在服务器上创建一个(临时)密钥,然后更改所有的方法,使第一个参数成为此密钥,并且它们都会额外引发未经身份验证的错误。例如:
exception NotAuthorisedException {
1: string errorMessage,
}
exception AuthTimeoutException {
1: string errorMessage,
}
service MyAuthService {
string authenticate( 1:string user, 2:string pass )
throws ( 1:NotAuthorisedException e ),
string mymethod( 1:string authstring, 2:string otherargs, ... )
throws ( 1:AuthTimeoutException e, ... ),
}
我们使用这种方法,将我们的密钥保存到一个安全的memcached实例中,并且设置了30分钟的超时时间以保持一切“快速响应”。当客户端收到AuthTimeoutException异常时,我们期望客户端重新进行授权并重试,并且我们还有一些防火墙规则来防止暴力攻击。像授权和权限这样的任务并不被视为 Thrift 的一部分,主要是因为这些事情(通常)更与应用程序逻辑相关,而不是一般的 RPC/序列化概念。目前 Thrift 唯一支持的是 TSASLTransport
。我个人对它不能说太多,只是因为我从未感到需要使用它。
另一个选择可能是利用 THeaderTransport
,但遗憾的是,在撰写本文时,它仅在 C++ 中实现。因此,如果您计划将其与其他语言一起使用,您可能需要投入一些额外的工作。不用说,我们欢迎贡献...
+ // Called before any other action is called
+ BeforeAction(serviceName string, actionName string, args map[string]interface{}) (err error)
+ // Called if an action returned an error
+ ProcessError(err error) error
}
type MyServiceClient struct {
@@ -391,7 +395,12 @@ func (p *myServiceProcessorMyMethod) Process(seqId int32, iprot, oprot thrift.TP
result := MyServiceMyMethodResult{}
var retval string
var err2 error
- if retval, err2 = p.handler.MyMethod(args.AuthString, args.OtherArgs_); err2 != nil {
+ err2 = p.handler.BeforeAction("MyService", "MyMethod", map[string]interface{}{"AuthString": args.AuthString, "OtherArgs_": args.OtherArgs_})
+ if err2 == nil {
+ retval, err2 = p.handler.MyMethod(args.AuthString, args.OtherArgs_)
+ }
+ if err2 != nil {
+ err2 = p.handler.ProcessError(err2)