GitHub

Grafana usa una canalización de autenticación ampliable: cada tipo de credencial se implementa como un "cliente" de autenticación y todos los clientes generan la misma Identity interna. Luego, esa identidad se completa con el usuario, la organización, el rol, el equipo y los permisos de Grafana antes de ejecutar la autorización.

He revisado la rama main actual.

1. Autenticación de solicitudes

Cada solicitud HTTP pasa por ContextHandler, que llama a:

authenticator.Authenticate(ctx, &authn.Request{HTTPRequest: req})

Si la autenticación se realiza correctamente, la identidad resultante se convierte en el SignedInUser de la solicitud y se añade al contexto de Go. Si falla, el error se guarda para que otro middleware decida después entre un 401, redirigir al inicio de sesión, rotar el token, etc. Después se eliminan los encabezados de autenticación confidenciales. Consulta contexthandler.go.