GitHub

Grafana utilise un pipeline d’authentification extensible : chaque type d’identifiant est implémenté sous la forme d’un « client » d’authentification, et tous les clients produisent la même Identity interne. Cette identité est ensuite enrichie avec l’utilisateur Grafana, l’organisation, le rôle, l’équipe et les autorisations avant l’exécution de l’autorisation.

J’ai examiné la branche main actuelle.

1. Authentification des requêtes

Chaque requête HTTP passe par ContextHandler, qui appelle :

authenticator.Authenticate(ctx, &authn.Request{HTTPRequest: req})

Si l’authentification réussit, l’identité obtenue devient le SignedInUser de la requête et est ajoutée au contexte Go. En cas d’échec, l’erreur est conservée afin qu’un middleware ultérieur décide entre une réponse 401, une redirection vers la page de connexion, une rotation du token, etc. Les en-têtes d’authentification sensibles sont ensuite supprimés. Voir contexthandler.go.