authentication - 如何使用 Thrift 处理身份验证和授权？

Question

我正在开发一个使用节俭的系统。我希望检查客户身份并进行 ACL 操作。 Thrift 是否为这些提供任何支持？

Answer 1

不是直接的。做到这一点的唯一方法是使用一种在服务器上创建(临时) key 的身份验证方法，然后更改所有方法，以便第一个参数是此 key ，并且它们都会另外引发未经身份验证的错误。例如:

exception NotAuthorisedException {
    1: string errorMessage,
}

exception AuthTimeoutException {
    1: string errorMessage,
}

service MyAuthService {
    string authenticate( 1:string user, 2:string pass )
        throws ( 1:NotAuthorisedException e ),

    string mymethod( 1:string authstring, 2:string otherargs, ... )
        throws ( 1:AuthTimeoutException e, ... ),
}

我们使用这种方法并将我们的 key 保存到一个安全的 memcached 实例中， key 超时 30 分钟，以保持一切“快速”。收到 AuthTimeoutException 的客户预计会重新授权并重试，我们有一些防火墙规则来阻止暴力攻击。