python - Pyramid :是否可以在没有身份验证的情况下使用授权？

Question

我的组织使用 OpenAM SSO 进行身份验证，我的应用程序是用 Pyramid 编写的。用户 ID 将在 HTTP header 中传递。我还可以将其配置为传递我可以在 acl 中使用的组和权限。这使得 Pyramid 中的身份验证变得多余。是否可以完全取消 Authenticaion Policy 而只使用授权？

Answer 1

您需要一种方法来告诉 Pyramid 的授权系统此人是谁(他们的有效委托(delegate)人)。这是身份验证策略的职责，即使它只是像解析 header 这样简单的事情。

class CustomAuthenticationPolicy(object):
    def effective_principals(self, request):
        principals = [Everyone]

        identity = request.headers.get('x-identity')
        # validate the identity somehow
        if is_valid(identity):
            principals += [Authenticated, identity, 'g:editors']
        return principals

config.set_authentication_policy(CustomAuthenticationPolicy())