솔직히 응용 프로그램에 탑재 할 수 있고 응용 프로그램 비즈니스 논리 및 요구 사항에 따라 많은 인증 방법과 기술이 있습니다.
예를 들어 Oauth2, LDAP, 로컬 인증 등이 있습니다.
제 답변은 로컬 인증을 찾고 있다고 가정합니다. 즉, 응용 프로그램에서 사용자 ID를 관리해야합니다. 서버는 사용자 및 관리자가 계정을 관리하고 신뢰할 수있는 통신을 달성하기 위해 서버에 자신을 식별하는 방법을 허용하는 외부 API 세트를 공개해야합니다. 결국 사용자 정보를 보유한 DB 테이블을 생성하게됩니다. 보안 목적으로 비밀번호가 해시되는 위치 데이터베이스에 비밀번호를 저장하는 방법을
다음 방법 중 하나를 기반으로 사용자를 인증하기 위해 앱 요구 사항을 가정합니다.
기본 인증 (사용자 이름, 비밀번호) :
이 인증 방법은 base64로 인코딩되고 rfc7617에 정의 된 권한 부여 헤더의 사용자 신임 정보 세트에 따라 다릅니다. 기본적으로 앱이 사용자에게 요청을 받으면 승인을 해독하고 비밀번호를 다시 해시하여 DB 내에서 비교합니다. 인증 된 사용자와 일치하는 경우 해시 그렇지 않으면 401 상태 코드를 사용자에게 반환합니다.
인증서 기반 인증 :
이 인증 방법은 사용자를 식별하기 위해 디지털 인증서에 의존하며이를 x509 인증이라고합니다. 따라서 앱이 사용자 요청을 받으면 클라이언트의 인증서를 읽고 제공된 CA 루트 인증서와 일치하는지 확인합니다. APP에.
베어러 토큰 :
이 인증 방법은 수명이 짧은 액세스 토큰에 따라 다릅니다. 베어러 토큰은 일반적으로 로그인 요청에 대한 응답으로 서버에서 생성되는 암호 문자열입니다. 따라서 앱이 사용자 요청을 받으면 권한을 읽고 토큰을 확인하여 사용자를 인증합니다.
그러나
전략이라고 알려진 확장 가능한 인증 방법을 통해 인증 라이브러리에 go-guardian 을 추천 합니다. 기본적으로 Go-Guardian은 경로를 마운트하거나 특정 데이터베이스 스키마를 가정하지 않으므로 유연성을 최대화하고 개발자가 의사 결정을 내릴 수 있습니다.
보호자 인증자를 설정하는 것은 간단합니다.
위의 방법의 전체 예는 다음과 같습니다.
package main
import (
"context"
"crypto/x509"
"encoding/pem"
"fmt"
"io/ioutil"
"log"
"net/http"
"sync"
"github.com/golang/groupcache/lru"
"github.com/gorilla/mux"
"github.com/shaj13/go-guardian/auth"
"github.com/shaj13/go-guardian/auth/strategies/basic"
"github.com/shaj13/go-guardian/auth/strategies/bearer"
gx509 "github.com/shaj13/go-guardian/auth/strategies/x509"
"github.com/shaj13/go-guardian/store"
)
var authenticator auth.Authenticator
var cache store.Cache
func middleware(next http.Handler) http.HandlerFunc {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
log.Println("Executing Auth Middleware")
user, err := authenticator.Authenticate(r)
if err != nil {
code := http.StatusUnauthorized
http.Error(w, http.StatusText(code), code)
return
}
log.Printf("User %s Authenticated\n", user.UserName())
next.ServeHTTP(w, r)
})
}
func Resource(w http.ResponseWriter, r *http.Request) {
w.Write([]byte("Resource!!\n"))
}
func Login(w http.ResponseWriter, r *http.Request) {
token := "90d64460d14870c08c81352a05dedd3465940a7"
user := auth.NewDefaultUser("admin", "1", nil, nil)
cache.Store(token, user, r)
body := fmt.Sprintf("token: %s \n", token)
w.Write([]byte(body))
}
func main() {
opts := x509.VerifyOptions{}
opts.KeyUsages = []x509.ExtKeyUsage{x509.ExtKeyUsageClientAuth}
opts.Roots = x509.NewCertPool()
// Read Root Ca Certificate
opts.Roots.AddCert(readCertificate("<root-ca>"))
cache = &store.LRU{
lru.New(100),
&sync.Mutex{},
}
// create strategies
x509Strategy := gx509.New(opts)
basicStrategy := basic.New(validateUser, cache)
tokenStrategy := bearer.New(bearer.NoOpAuthenticate, cache)
authenticator = auth.New()
authenticator.EnableStrategy(gx509.StrategyKey, x509Strategy)
authenticator.EnableStrategy(basic.StrategyKey, basicStrategy)
authenticator.EnableStrategy(bearer.CachedStrategyKey, tokenStrategy)
r := mux.NewRouter()
r.HandleFunc("/resource", middleware(http.HandlerFunc(Resource)))
r.HandleFunc("/login", middleware(http.HandlerFunc(Login)))
log.Fatal(http.ListenAndServeTLS(":8080", "<server-cert>", "<server-key>", r))
}
func validateUser(ctx context.Context, r *http.Request, userName, password string) (auth.Info, error) {
// here connect to db or any other service to fetch user and validate it.
if userName == "stackoverflow" && password == "stackoverflow" {
return auth.NewDefaultUser("stackoverflow", "10", nil, nil), nil
}
return nil, fmt.Errorf("Invalid credentials")
}
func readCertificate(file string) *x509.Certificate {
data, err := ioutil.ReadFile(file)
if err != nil {
log.Fatalf("error reading %s: %v", file, err)
}
p, _ := pem.Decode(data)
cert, err := x509.ParseCertificate(p.Bytes)
if err != nil {
log.Fatalf("error parseing certificate %s: %v", file, err)
}
return cert
}
용법:
curl -k https://127.0.0.1:8080/login -u stackoverflow:stackoverflow
token: 90d64460d14870c08c81352a05dedd3465940a7
curl -k https://127.0.0.1:8080/resource -H "Authorization: Bearer 90d64460d14870c08c81352a05dedd3465940a7"
Resource!!
curl -k https://127.0.0.1:8080/resource -u stackoverflow:stackoverflow
Resource!!
curl --cert client.pem --key client-key.pem --cacert ca.pem https://127.0.0.1:8080/resource
Resource!!
한 번에 여러 인증 방법을 활성화 할 수 있습니다. 일반적으로 두 가지 이상의 방법을 사용해야합니다