GitHub

Grafana usa una pipeline di autenticazione modulare: ogni tipo di credenziale è implementato come “client” di autenticazione e tutti i client producono la stessa Identity interna. Questa Identità viene poi arricchita con l'utente Grafana, l'organizzazione, il ruolo, il team e le autorizzazioni prima che venga eseguita l'autorizzazione.

Ho esaminato il ramo main corrente.

1. Autenticazione delle richieste

Ogni richiesta HTTP passa attraverso ContextHandler, che chiama:

authenticator.Authenticate(ctx, &authn.Request{HTTPRequest: req})

Se l'autenticazione riesce, l'Identità risultante diventa il SignedInUser della richiesta e viene associata al contesto Go. Se non riesce, l'errore viene salvato affinché un middleware successivo possa decidere se restituire 401, reindirizzare al login, ruotare il token e così via. Le intestazioni di autenticazione contenenti dati sensibili vengono quindi rimosse. Vedi contexthandler.go.