CouchDB/Iris Couch - 菜鸟安全问题

Question

我一直在玩 Iris Couch，使用 Futon，curl 和阅读 CouchDB security Wiki page我对读者、管理员和服务器管理员有点困惑。

我说 Futon 中的“创建服务器管理员”弹出窗口不是实际上创建服务器管理员，我说得对吗(wiki 提到这只能通过编辑 local.ini 来完成文件)？

您真正在做的是在 _users 数据库中创建文档 - 为用户提供用户名和密码以进行身份​​验证，之后将他们的名称或角色与针对数据库安全对象定义的任何名称/角色进行比较？

另外，我注意到默认情况下“require_valid_user”设置为 false，所以假设 Iris Couch 有服务器管理员，这是否意味着尽管用户必须提供他们的用户名/密码来进行身份验证 - 他们被验证为匿名, 所以没有与任何数据库定义的安全性进行比较？

如果我想将用户限制到特定数据库，是否需要将“require_valid_user”设置设为 true？

干杯

Answer 1

当您使用“创建服务器管理员”弹出表单时，这与编辑 .ini 文件相同。 (在内部，Futon 将查询/_config URL，这是一个用于编辑 .ini 文件的 HTTP API。)

_users 数据库是所有用户帐户、密码和角色的权威位置。当用户使用密码(或使用 session cookie)查询 CouchDB 时，该名称和角色将用于授予或拒绝他们的查询。通过首先检查数据库中的 _security 对象来决定是否允许他们的查询。他们必须在“读者”部分:他们的名字在“名称”列表中，或者他们的角色必须在“角色”列表中。

我推荐你avoid the require_valid_user option .它适用于非常特殊的情况。