GitHub

Grafana 使用可插拔的身份验证管道：每种凭据类型都实现为一个身份验证“客户端”，所有客户端都会生成相同的内部 Identity。随后，该身份会补充 Grafana 用户、组织、角色、团队和权限信息，再执行授权。

我检查了当前的 main 分支。

1. 请求身份验证

每个 HTTP 请求都会经过 ContextHandler，后者会调用：

authenticator.Authenticate(ctx, &authn.Request{HTTPRequest: req})

如果身份验证成功，生成的身份会成为请求的 SignedInUser，并附加到 Go 上下文中。如果失败，错误会被保存，供后续中间件决定返回 401、重定向到登录页、轮换 Token 等。随后会移除敏感的身份验证标头。请参阅 contexthandler.go。