GitHub

Grafana utilise un pipeline d’authentification extensible : chaque type d’identifiant est mis en œuvre sous forme de « client » d’authentification, et tous les clients produisent la même Identity interne. Cette identité est ensuite enrichie avec l’utilisateur Grafana, l’organisation, le rôle, l’équipe et les autorisations avant l’exécution de l’autorisation.

J’ai inspecté la branche main actuelle.

1. Authentification des requêtes

Chaque requête HTTP passe par ContextHandler, qui appelle :

authenticator.Authenticate(ctx, &authn.Request{HTTPRequest: req})

Si l’authentification réussit, l’identité obtenue devient le SignedInUser de la requête et est ajoutée au contexte Go. En cas d’échec, l’erreur est conservée afin qu’un intergiciel puisse ensuite choisir entre une réponse 401, une redirection vers la page de connexion, la rotation du jeton, etc. Les en-têtes d’authentification sensibles sont ensuite supprimés. Voir contexthandler.go.