【rpc框架】分布式框架之认证[ 3 ]_rpc协议认证-优快云博客

本文链接：https://blog.youkuaiyun.com/weixin_73815624/article/details/139562029

一、开启https支持

做法：在engine中添加RunTLS方法
测试：（密码123456）

生成私钥文件：
openssl genrsa -des3 -out my.key 2048
创建证书请求：
openssl req -new -key my.key -out my.csr
生成csr文件：

bash openssl x509 -req -days 365 -in my.csr -signkey my.key -out my.crt

同级目录下加入openssl.cnf修改文件内容如下
在这里插入图片描述

[ v3_req ]
subjectAltName = @alt_names
[ alt_names ]
IP.1 = 127.0.0.1
DNS.1 = *.zy.com
DNS.2 = *.org.zy.com

生成证书私钥server.key：
openssl genpkey -algorithm RSA -out server.key
通过server.key生成证书请求文件
server.csr:openssl req -new -nodes -key server.key -out server.csr -days 3650 -config ./openssl.cnf -extensions v3_req
生成SAN证书:
sudo openssl x509 -req -days 365 -in server.csr -out server.pem -CA my.crt -CAkey my.key -CAcreateserial -extfile ./openssl.cnf -extensions v3_req
客户端生成私钥：
openssl genpkey -algorithm RSA -out client.key
客户端生成证书：
openssl req -new -nodes -key client.key -out client.csr -days 3650 -config ./openssl.cnf -extensions v3_req
客户端生成SAN证书：
sudo openssl x509 -req -days 365 -in client.csr -out client.pem -CA my.crt -CAkey my.key -CAcreateserial -extfile ./openssl.cnf -extensions v3_req

二、认证支持

1.基础认证

1.1介绍

Basic 认证（基础认证），是最简单的认证方式。它简单地将用户名:密码进行 base64 编码后，放到 HTTP Authorization Header 中。HTTP 请求到达后端服务后，后端服务会解析出 Authorization Header 中的 base64 字符串，解码获取用户名和密码，并将用户名和密码跟数据库中记录的值进行比较，如果匹配则认证通过。
当然base64并不是加密技术，所以这种认证方式并不安全，即使密码进行加密，攻击者也可以进行重放攻击。

1.2流程

给ctx加入名为Keys的map[string]any作为负载信息的结构，同时加入Set和Get方法
实现中间件，在执行业务之前，鉴权

1.3代码

在这里插入图片描述

1.4效果

在这里插入图片描述

2.摘要认证

Digest 认证（摘要认证），是另一种 HTTP 认证协议，它与基本认证兼容，但修复了基本认证的严重缺陷。Digest 具有如下特点：

绝不会用明文方式在网络上发送密码。
可以有效防止恶意用户进行重放攻击。
可以有选择地防止对报文内容的篡改。

完成摘要认证需要下面这四步：

客户端请求服务端的资源。
在客户端能够证明它知道密码从而确认其身份之前，服务端认证失败，返回401Unauthorized，并返回WWW-Authenticate头，里面包含认证需要的信息。
客户端根据WWW-Authenticate头中的信息，选择加密算法，并使用密码随机数 nonce，计算出密码摘要response，并再次请求服务端。
服务器将客户端提供的密码摘要与服务器内部计算出的摘要进行对比。如果匹配，就说明客户端知道密码，认证通过，并返回一些与授权会话相关的附加信息，放在Authorization-Info 中。

虽然使用摘要可以避免密码以明文方式发送，一定程度上保护了密码的安全性，但是仅仅隐藏密码并不能保证请求是安全的。因为请求（包括密码摘要）仍然可以被截获，这样就可以重放给服务器，带来安全问题。

为了防止重放攻击，服务器向客户端发送了密码随机数 nonce，nonce 每次请求都会变化。客户端会根据== nonce ==生成密码摘要，这种方式，可以使摘要随着随机数的变化而变化。服务端收到的密码摘要只对特定的随机数有效，而没有密码的话，攻击者就无法计算出正确的摘要，这样我们就可以防止重放攻击。

摘要认证可以保护密码，比基本认证安全很多。但摘要认证并不能保护内容，所以仍然要与 HTTPS 配合使用，来确保通信的安全。

3.令牌认证

3.1介绍

Bearer 认证，也称为令牌认证，是一种 HTTP 身份验证方法。Bearer 认证的核心是 bearer token。bearer token 是一个加密字符串，通常由服务端根据密钥生成。客户端在请求服务端时，必须在请求头中包含Authorization: Bearer 。服务端收到请求后，解析出，并校验的合法性，如果校验通过，则认证通过。跟Basic认证一样，Bearer 认证需要配合 HTTPS 一起使用，来保证认证安全性。

当前最流行的 token 编码方式是 JSON Web Token