GitHub

Grafana usa una canalización de autenticación modular: cada tipo de credencial se implementa como un “cliente” de autenticación y todos los clientes generan la misma Identidad interna. Luego, esa identidad se complementa con el usuario, la organización, el rol, el equipo y los permisos de Grafana antes de ejecutar la autorización.

Inspeccioné la rama main actual.

1. Autenticación de solicitudes

Cada solicitud HTTP pasa por ContextHandler, que llama a:

authenticator.Authenticate(ctx, &authn.Request{HTTPRequest: req})

Si la autenticación se realiza correctamente, la identidad resultante se convierte en el SignedInUser de la solicitud y se adjunta al contexto de Go. Si falla, el error se guarda para que un middleware posterior decida si devolver un 401, redirigir al inicio de sesión, rotar el token, etc. Después, se eliminan los encabezados de autenticación sensibles. Consulta contexthandler.go.