如何用thrift处理认证和授权？

Question

我正在开发一个使用节俭的系统。我希望检查客户身份并对操作进行 ACL。 Thrift 是否为这些提供任何支持？

Answer 1

不直接。执行此操作的唯一方法是使用一种身份验证方法，该方法在服务器上创建一个（临时）密钥，然后更改所有方法，以便第一个参数是该密钥，并且它们都会另外引发未经身份验证的错误。例如：

exception NotAuthorisedException {
    1: string errorMessage,
}

exception AuthTimeoutException {
    1: string errorMessage,
}

service MyAuthService {
    string authenticate( 1:string user, 2:string pass )
        throws ( 1:NotAuthorisedException e ),

    string mymethod( 1:string authstring, 2:string otherargs, ... )
        throws ( 1:AuthTimeoutException e, ... ),
}

我们使用此方法并将密钥保存到安全的 memcached 实例，密钥超时时间为 30 分钟，以保持一切“快速”。收到 AuthTimeoutException 的客户端应重新授权并重试，我们有一些防火墙规则来阻止暴力攻击。

Answer 2

像自动授权和权限这样的任务不被视为 Thrift 的一部分，主要是因为这些东西（通常）与应用程序逻辑比与一般的 RPC/序列化概念更相关。 Thrift 目前唯一支持的就是 TSASLTransport。我自己不能对这个说太多，只是因为我从来没有觉得有必要使用它。

另一种选择可能是使用 THeaderTransport 不幸的是，在撰写本文时仅使用 C++ 实现。因此，如果您打算将其与其他语言一起使用，您可能需要投入一些额外的工作。不用说，我们接受捐款......

Answer 3

有点晚了（我猜很晚了），但几年前我已经为此修改了 Thrift 源代码。

刚刚向 https://issues.apache.org/jira/ 提交了带有补丁的票证浏览/THRIFT-4221就是为了这个。

看看那个。基本上，该提案是添加一个“BeforeAction”挂钩来完成此操作。

Golang 生成差异示例

+       // Called before any other action is called
+       BeforeAction(serviceName string, actionName string, args map[string]interface{}) (err error)
+       // Called if an action returned an error
+       ProcessError(err error) error
 }

 type MyServiceClient struct {
@@ -391,7 +395,12 @@ func (p *myServiceProcessorMyMethod) Process(seqId int32, iprot, oprot thrift.TP
        result := MyServiceMyMethodResult{}
        var retval string
        var err2 error
-       if retval, err2 = p.handler.MyMethod(args.AuthString, args.OtherArgs_); err2 != nil {
+       err2 = p.handler.BeforeAction("MyService", "MyMethod", map[string]interface{}{"AuthString": args.AuthString, "OtherArgs_": args.OtherArgs_})
+       if err2 == nil {
+               retval, err2 = p.handler.MyMethod(args.AuthString, args.OtherArgs_)
+       }
+       if err2 != nil {
+               err2 = p.handler.ProcessError(err2)