浅析openLooKeng安全认证机制-低调大师

浅析openLooKeng安全认证机制

2021-11-03 715

前言

通过openLooKeng的官网https://openlookeng.io/zh-cn/docs/docs/overview.html我们可以知道其支持对外部用户的认证的，主要方式有Kerberos和Password(LDAP)认证，本文主要讲解其认证原理。

认证机制

在了解认证之前不得不提一下Servlet中的FilterChain的doFilter方法的作用如下图示，在客户端和服务器端之间会有很多filter,通常称为filter链。通过FilterChain我们可能进行很多的过虑操作。当然我们也可以通过Filter对用户时进行认证。其中openLooKeng的认证就是在Filter中的doFilter完成的。

在openLooKeng的代码中认证相关的filter会在ServerSecurityModule类中进行注册，AuthenticationFilter和PaswordAuthenticatorManager就是跟认证相关的。

当然从该模块中我们还知道除了支持Kerberos和Password认证之外还支持CERTIFICATE和JWT。

当请求来到时会先经过前面注册的AuthenticationFilter,该类实现了Filter的doFilter方法，

在其中我们可以看到可以支持内部的认证、webUI认证和外部认证，这里主要讲解外部内证，

这里会根据配置认证方式进行遍历，并调用对应的认证模式进行认证，认证通过后则进入下一下Filter进行处理，最后请求到达服务器端的rest接口内部，进行相应服务处理。

支持的认证方式

前面讲解到会在doFilter方法进行认证，其中Authenticator是一个接口，看到其中有4种实现，下面主要以Kerberos和Password为例进行讲解。

Kerberos认证

Kerberos认证主要在KerberosAuthenticator类中完成的,在类初始化的时候会根据配置的信息如krb5.conf、keytab和principal等信息初始化好loginContext。当有请求带来时，会从request中取出用户信息或是token进行认证，如下：

当成功认证后会返回KerberosPrincipal继续传递给下一个Filter。具体的Kerberos认证原理可以查看Kerberos官网，这里不做详细描述。

Password认证

除了上面说的支持Kerberos的认证外，还支持密码认证，默认支持的是基于LDAP的密码认证。密码的认证是主要在PasswordAuthenticator类中的authenticate完成的，同样的也是从request中取出用户名和密码交给authenticatorManager进行认证。

目前我们看到PasswordAuthenticator的接口只有LDAP的实现。

在LdapAuthenticator类中认证主要由authenticate方法完成的。里面会调用LDAP相关的API跟LDAP服务器进行交互完成认证。

Password认证框架

其实openLooKeng密码认证是以plugin方式进加载的，可以解压编译好的包在plugin路径下可以看到password相关的plugin。

从代码上看到PasswordAuthenticatorPlugin是实现了Plugin接口的，其中里面添加了LdapAutehnticatorFactory。

而LdapAutehnticatorFactory类则是实现了PasswordAuthenticatorFactory接口，该接口主要提供了两个方法一个getName和create,其中在LdapAuthenticatorFactory中getName返回的是ldap，以区别其他密码认证模式，create方法中则是通过airlift框架初始化LdapAuthenticator实例，保存在PasswordAuthenticatorManager类中，这样当进行密码认证的时候从该类中取出对应的Authenticator实例即可。

另外在系统启动的时候，会由PasswordAuthenticatorManager调用addPasswordAuthenticatorFactory接口加载多个PasswordAuthenticatorFactory实现类，如下：

当plugin加载完成后再由PasswordAuthenticatorManager类调用loadPasswordAuthenticator方法完成具体PasswordAuthenticator实现的创建：

这个便是openLooKeng整个密码认证框架的运行原理。

扩展认证

根据前面的介绍，我们可以看出如果实现自己的认证方式的话，笔者认为可以有两种主要方式：

第一种是基于persto-main模块的接口Authenticator直接实现自己认证和配置即可。

第二种如果是基于密码认证，那么可以这样实现：

  基本presto-spi模块的PasswordAuthenticator接口实现MyPasswordAuthenticator类

  基于PasswordAuthenticatorFactory实现MyPasswordAuthenticatorFactory，然后实现getName和create方法,其中create方法中参考LDAP密码认证实现创建基于前面实现的MyPasswordAuthenticator类的实例。

  最后在PasswordAuthenticatorPlugin中加上实现的MyPasswordAuthenticatorFactory类即可。

通过上面的步骤后那么openLooKeng启动时也会加载自己实现的Factory。只要在配置文件中配置成自己实现的认证即可使用。

本文作者：曾德永

转载请联系openLooKeng小助手（微信：openLooKengoss）

微信关注我们

原文链接：https://my.oschina.net/u/4742090/blog/5293757

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Redis技术专题系列之分析一下Redission实现分布式锁的点点滴滴

Redission的简介 Redission 为 Redis 官网分布式解决方案官网： Redisson: Redis Java client with features of In-Memory Data Grid 快速入门： https://github.com/redisson/redisson#quick-start github的Redission系列：https://github.com/orgs/redisson/repositories Redission的功能分布 Maven配置  <dependency> <groupId>org.redisson</groupId> <artifactId>redisson</artifactId> <version>3.10.4</version> </dependency> 基本使用 // 1. Create config object Config = ... // 2. Create Red...

2021-11-03

665

前言：我们在日常开发中，经常会遇到字节单位换算的场景。一般用简单的除法来计算时，都会遇到计算精度的问题。下面，我们着重要将的是一种精确字节单位换算的详解： 1. 先看代码 const byteConvert = function(bytes) { if (isNaN(bytes)) { return ''; } let symbols = ['bytes', 'KB', 'MB', 'GB', 'TB', 'PB', 'EB', 'ZB', 'YB']; let exp = Math.floor(Math.log(bytes)/Math.log(2)); if (exp < 1) { exp = 0; } let i = Math.floor(exp / 10); bytes = bytes / Math.pow(2, 10 * i); if (bytes.toString().length > bytes.toFixed(2).toString().length) { bytes = bytes.toFixed(2); } return b...

2021-11-03

454

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。